Phát hiện lỗ hổng trên phần mềm rConfig cho phép hacker khai thác, chiếm quyền điều khiển hệ thống mạng

ictnews Theo cảnh báo mới từ VSEC, lỗ hổng nguy hiểm có mã CVE-2019-16662 cho phép kẻ tấn công thực thi mã từ xa trên rConfig, tiện ích quản lý cấu hình mạng phổ biến thường gặp trong hệ thống mạng lớn, các doanh nghiệp cung cấp hạ tầng mạng và viễn thông.

Với mức độ nguy hiểm 9.8/10 theo nhận định từ Viện Tiêu chuẩn và Kỹ thuật quốc gia Hoa Kỳ (NIST), VSEC đánh giá đây là một lỗ hổng đặc biệt nghiêm trọng, ảnh hưởng trực tiếp đến nhiều doanh nghiệp Việt Nam.

Công ty cổ phần An ninh mạng Việt Nam (VSEC) ngày 6/11 đã phát đi cảnh báo về một lỗ hổng có mã "CVE-2019-16662" dẫn tới nguy cơ bị tấn công RCE (Remote Code Execution), cho phép kẻ tấn công truy cập vào rConfig, thực hiện chiếm quyền điều khiển và quyền người dùng khi chưa đăng nhập. Từ đó, ảnh hưởng trực tiếp tới cấu hình các thiết bị mạng nằm trong hệ thống mà ứng dụng quản trị.

Lỗ hổng bảo mật có mã “CVE-2019-16662” được phát hiện trên tất cả các phiên bản của hệ thống quản trị mạng nguồn mở phổ biến rConfig, bao gồm cả phiên bản rConfig mới nhất 3.9.2. Với mức độ nguy hiểm 9.8/10 theo nhận định từ Viện Tiêu chuẩn và Kỹ thuật quốc gia Hoa Kỳ (NIST), VSEC đánh giá đây là một lỗ hổng đặc biệt nghiêm trọng, ảnh hưởng trực tiếp đến nhiều doanh nghiệp Việt Nam.

Theo phân tích của các chuyên gia VSEC, trong mã nguồn của ứng dụng, file thực thi “/install/lib/ajaxHandlers/ajaxServerSettingsChk.php” tồn tại biến “rootUname” được truyền vào 2 chuỗi, sau đó được thực thi qua hàm “exec()” nhưng lại không có bất kỳ cơ chế chuẩn hóa dữ liệu truyền vào. Lợi dụng điều này, kẻ tấn công có thể nhúng các đoạn mã thực thi vào ứng dụng, dễ dàng chiếm quyền điều khiển máy chủ, từ đó kiểm soát được toàn bộ hệ thống mạng do tiện ích rConfig quản lý.

rConfig là một tiện ích mã nguồn mở được viết bằng ngôn ngữ lập trình PHP, quản lý cấu hình thiết bị mạng như Router, Switch, Firewall… Tiện ích này cho phép các kỹ sư mạng chọn lệnh quản trị viên muốn chạy với thiết bị và tạo snapshot cấu hình của các thiết bị mạng.

 

Theo thông tin từ trang chủ của rConfig, tiện ích này đang quản lý hơn 3,3 triệu thiết bị bao gồm các bộ chuyển mạch, bộ định tuyến, tường lửa, bộ cân bằng tải, tối ưu hóa mạng WAN và có hơn 7.000 người dùng hoạt động. 

Còn tại Việt Nam, theo nghiên cứu tại VSEC uớc tính có khoảng hơn 10.000 thiết bị thuộc hệ thống mạng lớn tại các doanh nghiệp cung cấp hạ tầng mạng, hạ tầng CNTT và viễn thông đang sử dụng tiện ích rConfig.

Thông tin từ VSEC cũng cho hay, thời điểm hiện tại, chưa có bản vá với lỗ hổng nghiêm trọng trên rConfig. Do đó, dể đảm bảo an toàn cho các tổ chức và doanh nghiệp Việt, VSEC khuyến cáo các đơn vị đang sử dụng rConfig nên giới hạn địa chỉ IP truy cập vào hệ thống, chặn truy cập module "ajaxServerSettingsChk.php" nếu không sử dụng tới, sử dụng "http authentication" với các trang quản trị hoặc sử dụng các giải pháp quản trị thay thế khác. Thêm vào đó, các quản trị viên cần theo dõi sát để có thể cập nhật bản vá ngay khi có thể.

Trước những tác động lớn có thể xảy ra từ lỗ hổng, đội ngũ chuyên gia VSEC dự kiến sẽ phối hợp đánh giá website miễn phí toàn bộ các doanh nghiệp Việt Nam đang sử dụng tiện ích rConfig để tìm ra các rủi ro tiềm ẩn trong hệ thống, từ đó đưa ra các cảnh báo và giải pháp khắc phục kịp thời.

 
List comment
 
Microsoft chặn tính năng 'reply-all' để tránh bão email
icon

Microsoft đang triển khai tính năng mới, chặn “reply-all” trong Office 365 và Exchange Online. Tính năng này được thiết kế nhằm ngăn chặn các cơn bão email đổ bộ không cần thiết vào hộp thư đến của người dùng.

 
Doanh thu tháng 4 MediaTek sụt giảm 4,67% so với cùng kỳ năm ngoái
icon

Nhà sản xuất bộ vi xử lý đến từ Đài Loan, MediaTek đã công bố báo cáo tài chính tháng 4 năm 2020 cho thấy, doanh thu đạt được khoảng 688 triệu USD, giảm 4,67% so với cùng kỳ năm trước.

 
12 bộ, tỉnh đã cán mốc cung cấp 30% dịch vụ công trực tuyến mức 4
icon

Chính phủ tại Nghị quyết 17 ngày 7/3/2019 đã yêu cầu các bộ, ngành, địa phương phải đạt mục tiêu cung cấp 30% dịch vụ công trực tuyến mức 4 trong năm 2020. Đến nay, đã có 5 bộ và 7 tỉnh, thành phố hoàn thành mục tiêu này.

 
Thị trường máy tính xách tay toàn cầu ít bị ảnh hưởng bởi Covid-19
icon

Báo cáo nghiên cứu mới phát hành bởi Công ty nghiên cứu chiến lược toàn cầu Strategy Analytics cho thấy, trong quý đầu tiên của năm 2020, các lô hàng máy tính xách tay toàn cầu đạt 37,9 triệu chiếc, chỉ giảm 2% so với cùng kỳ năm trước.

 
Chế độ dark mode trên Facebook đến với mọi người dùng toàn cầu
icon

Facebook vừa công bố giao diện thiết kế mới của mạng xã hội trên máy tính, theo đó chế độ dark mode đã đến với mọi người dùng toàn cầu.

 
[Chùm ảnh vui] Chết cười với các “thánh cosplay giá rẻ” tận dụng mọi đồ vật trong nhà để mô phỏng lại những cảnh phim bom tấn
icon

Không tốn quá nhiều tiền đạo cụ, và cũng chẳng cần kĩ năng chụp ảnh bá đạo, những 'thánh cosplay' này vẫn có thể tạo ra những cảnh phim Hollywood một cách đầy hài hước và không kém phần ấn tượng.

Phiên bản iOS mới có thể cứu mạng người dùng
icon

Phiên bản iOS 13.5 được bổ sung tính năng tự động gửi thông tin ID Y tế của người dùng trong trường hợp khẩn cấp.

Robot chó nhắc người dân Singapore giãn cách xã hội
icon

Thay vì sủa ầm ĩ, những chú chó robot tại Singapore lịch sự đề nghị người đi bộ, đạp xe tại công viên giãn cách theo quy định.

Cung cấp dịch vụ công trực tuyến hỗ trợ người dân gặp khó khăn do Covid-19
icon

Văn phòng Chính phủ vừa đề nghị Chủ tịch UBND các tỉnh, thành phố chỉ đạo triển khai ngay một số việc để đảm bảo cung cấp dịch vụ công trực tuyến hỗ trợ các đối tượng khó khăn do đại dịch Covid-19 đúng đối tượng, nhanh chóng, thuận tiện.

Cách gõ nhanh các biểu tượng cảm xúc Facebook bằng ký tự đặc biệt
icon

Người dùng mạng xã hội thường muốn có thêm sự khác biệt bằng những biểu tượng cảm xúc tạo bởi các dấu câu và ký tự đặc biệt.

 
123

Giấy phép hoạt động báo chí: Số 09/GP-BTTTT, Bộ Thông tin và Truyền thông cấp ngày 07/01/2019.

Tòa soạn: Tầng 7, Tòa nhà Cục Tần số Vô tuyến điện, 115 Trần Duy Hưng, Quận Cầu Giấy, Hà Nội

Điện thoại: 024 3 936 9966 - Fax: 024 3 936 9364

Hotline nội dung: 0888 911 911 - Email: toasoan@ictnews.vn

123