Bản vá lỗ hổng nguy hiểm đang bị hacker khai thác lại chứa lỗ hổng nguy hiểm rồi tiếp tục bị hacker khai thác

Hồi đầu tháng 12, cả thế giới xôn xao khi phát hiện lỗ hổng thực thi mã nghiêm trọng trong Log4j, một tiện ích được sử dụng bởi hầu như mọi dịch vụ điện toán đám mây và mạng doanh nghiệp. Ngay lập tức các nhà phát triển mã nguồn mở đã tung ra một bản cập nhật để vá lỗi và kêu gọi người dùng cài đặt bản vá ngay lập tức.

Nay các nhà nghiên cứu lại báo cáo rằng có ít nhất hai lỗ hổng trong bản cập nhật vá lỗi Log4j 2.15.0. Không chỉ có vậy, hacker cũng đang khai thác một trong hai lỗ hổng ấy, nhắm vào các mục tiêu đã cài đặt bản vá. Chính vì thế, các nhà nghiên cứu lại một lần nữa kêu gọi mọi người mau chóng cài đặt bản cập nhật Log4j 2.16.0 để vá lỗ hổng đang được theo dõi dưới mã CVE-2021-45046.

Theo các nhà nghiên cứu, bản vá 2.15.0 chưa hoàn thiện trong một số cấu hình không phải mặc định nên tạo cơ hội cho hacker thực hiện các cuộc tấn công DDoS. Điều này có thể khiến các máy chủ bị tấn công tê liệt hoàn toàn cho tới khi khởi động lại hoặc thực hiện các hành động khác.

Phiên bản 2.16.0 khắc phục vấn đề này bằng cách loại bỏ hỗ trợ cho các mẫu tra cứu thông báo và tắt chức năng JNDI theo mặc định.

Lỗ hổng còn lại trong bản vá 2.15.0 được phát hiện bởi hãng bảo mật Praetorian có liên quan tới lộ lọt thông tin. Hacker có thể khai thác lỗ hổng này để tải xuống dữ liệu từ các máy chủ bị ảnh hưởng. Hãng này đã báo cáo vấn đề cho Apache Foundation nhưng vẫn khẩn thiết khuyên người dùng nên sớm cài đặt bản vá 2.16.0.