Lỗ hổng nghiêm trọng của Apache Avro SDK cho phép thực thi mã từ xa trong các ứng dụng Java

Một lỗ hổng bảo mật nghiêm trọng đã được phát hiện trong Bộ phát triển phần mềm Java (SDK) Apache Avro, nếu khai thác thành công có thể cho phép thực thi mã tùy ý trên các phiên bản dễ bị tấn công.

Lỗ hổng có định danh CVE-2024-47561, ảnh hưởng đến tất cả phiên bản phần mềm trước 1.11.4.

"Người dùng được khuyến nghị nâng cấp lên phiên bản 1.11.4 hoặc 1.12.0 để khắc phục vấn đề này", các nhà bảo trì cho biết.

Apache Avro, tương tự như Protocol Buffers (protobuf) của Google, là một dự án nguồn mở cung cấp một ‘data serialization framework’ để xử lý dữ liệu quy mô lớn.

Nhóm Avro lưu ý rằng lỗ hổng này ảnh hưởng đến bất kỳ ứng dụng nào nếu ứng dụng cho phép người dùng cung cấp Avro schema của riêng họ để phân tích cú pháp. Kostya Kortchinsky từ nhóm bảo mật Databricks được ghi nhận là người đã phát hiện và báo cáo lỗ hổng này.

Để giảm thiểu sự cố, người dùng được khuyến nghị nên kiểm tra và ‘làm sạch’ (sanitize) schema trước khi phân tích cú pháp và tránh phân tích cú pháp các schema do người dùng cung cấp.

Mayuresh Dani, giám đốc nghiên cứu mối đe dọa tại Qualys cho biết: "CVE-2024-47561 ảnh hưởng đến Apache Avro 1.11.3 và các phiên bản trước đó trong khi de-serializing dữ liệu đầu vào nhận được thông qua avroAvro schema".

"Xử lý dữ liệu đầu vào độc hại từ tác nhân đe dọa sẽ dẫn đến việc thực thi mã. Dựa trên báo cáo của chúng tôi, chưa có mã khai thác nào được công khai, nhưng lỗ hổng này tồn tại khi xử lý các gói tin thông qua các lệnh ReflectData và SpecificData và cũng có thể bị khai thác thông qua Kafka."

"Do Apache Avro là dự án mã nguồn mở nên nó được nhiều tổ chức sử dụng. Dựa trên dữ liệu công khai, phần lớn các tổ chức này đều nằm ở Mỹ. Điều này chắc chắn gây ra nhiều tác động đến bảo mật nếu không được vá, không được giám sát và không được bảo vệ."

Nguồn: thehackernews.com.