Mới đây,ảnhbáolỗhổngnguyhiểmgâyảnhhưởngtớitriệumáychủsex nguoi mau các chuyên gia an ninh mạng tạiViệt Nam đã lên tiếng cảnh báo về lỗ hổng Ghostcast trên phần mềm mã nguồn mở Apache Tomcat. Lỗ hổng này cho phép kẻ tấn công có thể đọc các tệp tin cấu hình của ứng dụng, đánh cắp mật khẩu hoặc API token, thậm chí chiếm quyền điều khiển máy chủ.

Ghostcat là một lỗ hổng trong giao thức AJP Tomcat (Apache JServ Protocol) Apache TomCat. Đây là phần mềm web server mã nguồn mở miễn phí, được sử dụng để chạy các ứng dụng web lập trình bằng ngôn ngữ java.

Apache Tomcat hiện đang chiếm gần 50% thị phần website trên thế giới.

Tuy là phần mềm miễn phí, thế nhưng Apache Tomcat được đánh giá cao bởi khả năng thiết lập môi trường website an toàn, tiết kiệm chi phí và tính hiệu quả cao. Hiện nay, Apache Tomcat đang chiếm gần 50% thị phần website trên thế giới. 

Apache TomCat luôn nằm trong danh sách những phần mềm mã nguồn mở phổ biến nhất hiện nay trên thế giới và được sử dụng rộng rãi bởi rất nhiều các đơn vị trong lĩnh vực tài chính, ngân hàng, viễn thông... Do đó, việc xuất hiện lỗ hổng trên phần mềm này được đánh giá là cực kỳ nguy hiểm.

Lỗ hổng GhostCat có mã theo dõi CVE-2020-1938 (CVSS 9.8). Lỗ hổng này được tin tặc khai thác dưới dạng chèn ký tự đặc biệt trong lúc gửi những yêu cầu tới máy chủ để đọc mã nguồn hoặc các thông tin file cấu hình máy chủ. Khi nắm được các file cấu hình này, tin tặc có thể tiếp cận và cài đặt backdoor để chiếm quyền điều khiển từ xa và thực thi các cuộc tấn công mạng khác.

Bên trong và phía trước của một máy chủ web. Ảnh minh họa.

Theo các chuyên gia, lỗ hổng Ghostcat hiện đã được phát hiện trên tất cả các phiên bản (9.x/8.x/7.x/6.x) của Apache Tomcat phát hành trong suốt 13 năm qua. Điều đặc biệt nghiêm trọng là các mã khai thác đã xuất hiện và được chia sẻ tràn lan trên Internet, từ đó các tin tặc có thể tìm kiếm và triển khai các phương thức xâm nhập vào máy chủ web một cách dễ dàng.

Thống kê của công cụ tìm kiếm lỗ hổng BinaryEdge cho thấy, hiện nay có hơn một triệu máy chủ Tomcat hiện đang hoạt động, do đó các chuyên gia nhấn mạnh rằng, tất cả doanh nghiệp, cá nhân sử dụng Apache Tomcat không phải phiên bản mới nhất đều nằm trong danh sách có thể trở thành con mồi của kẻ tấn công.

Theo khuyến cáo của giới chuyên môn, các doanh nghiệp sử dụng hệ thống Apache Tomcat cần cập nhật hệ thống lên phiên bản mới nhất và không bao giờ mở cổng AJP đến các máy Client không đáng tin cậy.

Đội ngũ của Tomcat cũng cho biết: “Người dùng nên lưu ý một thay đổi đã được thực hiện trong cấu hình AJP Connector mặc định phiên bản 9.0.31. Do vậy, người dùng cập nhật lên phiên bản 9.0.31 hoặc cao hơn sẽ cần phải thực hiện những thay đổi nhỏ trong cấu hình của mình.”.

Nếu không thể nâng cấp phiên bản máy chủ bị ảnh hưởng ngay lập tức, người dùng có thể khắc phục tạm thời bằng cách tắt AJP Connector, hoặc chuyển hướng nó về một cổng cục bộ để tránh những rủi ro không đáng có tới máy chủ.

Trọng Đạt

• ·Nhận định, soi kèo Albirex Niigata vs Yokohama FC, 12h00 ngày 13/4: Kém cỏi như nhau
• ·Nhận định, soi kèo Deportes Tolima với Patriotas FC, 08h30 ngày 22/4: Bão tố xa nhà
• ·Nhận định, soi kèo Borneo FC Samarinda với Arema Malang, 19h00 ngày 21/04: Nhanh chóng trở lại
• ·Nhận định, soi kèo Cracovia với Puszcza Niepolomice, 17h30 ngày 21/4: Thất vọng cửa trên
• ·Soi kèo phạt góc Bournemouth vs Fulham, 02h00 ngày 15/4
• ·Nhận định, soi kèo U21 Swansea City với U21 Burnley, 19h00 ngày 23/4: Lịch sử gọi tên
• ·Nhận định, soi kèo Alianza Petrolera vs Catolica Quito, 9h00 ngày 24/4: Chưa thể hồi sinh
• ·Nhận định, soi kèo Atletico Mineiro vs CA Penarol, 7h00 ngày 24/4: Đẳng cấp vượt trội
• ·Nhận định, soi kèo Bahrain SC vs Al Muharraq, 23h00 ngày 14/4: Kết quả dễ đoán
• ·Nhận định, soi kèo PSIS Semarang với RANS Nusantara, 19h00 ngày 22/4: Khó cho khách
• ·Nhận định, soi kèo U21 Bristol City với U21 Hull City, 19h00 ngày 23/4: Tiếp tục thăng hoa
• ·Nhận định, soi kèo Mynai với Rukh Lviv, 17h00 ngày 22/4: Khó thắng cách biệt
• ·Nhận định, soi kèo Velez Sarsfield vs Sarmiento, 7h15 ngày 15/4: Tin ở chủ nhà
• ·Nhận định, soi kèo U21 Bristol City với U21 Hull City, 19h00 ngày 23/4: Tiếp tục thăng hoa
• ·Nhận định, soi kèo Duhok với Naft Alwasat, 22h15 ngày 22/4: ‘Bắt nạt’ cuối bảng
• ·Nhận định, soi kèo Leicester với Southampton, 2h00 ngày 24/4: Không dễ cho Bầy Cáo