HP công bố một loạt lỗ hổng nghiêm trọng trong giao thức Teradici PCoIP

HP vừa lên tiếng cảnh báo về các lỗ hổng bảo mật nghiêm trọng trong ứng dụng máy khách và tác nhân Teradici PCoIP dành cho Windows, Linux và macOS. Những lỗ hổng này ảnh hưởng tới 15 triệu endpoint.

Hãng sản xuất máy tính và phần mềm phát hiện ra rằng Teradici bị ảnh hưởng bởi lỗi phân tích cú pháp chứng chỉ OpenSSL được tiết lộ gần đây. Lỗi này gây ra vòng lắp từ chối dịch vụ vô hạn và nhiều lỗ hổng tràn số nguyên trong Expat.

Teradici PCoIP (PC over IP) là một giao thức máy tích độc quyền được cấp phép cho nhiều nhà cung cấp sản phẩm ảo hóa. HP mua lại Teradici từ năm 2021 và  sử dụng PCoIP trên các sản phẩm của mình từ đó tới nay.

Theo trang web chính thức của HP, các sản phẩm của Teradici PCoIP được triển khai trên 15 triệu endpoint, hỗ trợ các cơ quan chính phủ, đơn vị quân đội, công ty phát triển game, các tập đoàn phát sóng, công ty tin tức...

Tổng cộng HP công bố 12 lỗ hổng với 3 trong số đó ở mức cực kỳ nghiêm trọng (9,8 điểm), 8 lỗ hổng nghiêm trọng và 1 lỗ hổng ở mức trung bình.

Một trong những lỗ hổng nghiêm trọng nhất được vá lần này là CVE-2022-0778. Đây là lỗ hổng từ chối dịch vụ trong OpenSSL được kích hoạt bằng cách phân tích cú pháp một chứng chỉ được chế tạo với chủ đích độc hại.

CVE-2022-0778 sẽ dẫn tới một vòng lặp khiến phần mềm không phản hồi. Một cuộc tấn công như vậy sẽ gây ra các gián đoạn bởi người dùng không thể truy cập thiết bị từ xa.

Các lỗ hổng nghiêm trọng khác gồm CVE-2022-22822, CVE-2022-22823 và CVE-2022-22824. Tất cả các lỗ hổng này đều liên quan tới việc tràn số nguyên và chuyển đổi không hợp lệ trong libexpat có khả năng dẫn tới không thể kiểm soát tiêu thụ tài nguyên, nâng cao đặc quyền và thực thi code từ xa.

Năm lỗ hổng tràn số nguyên khác ở mức nguy hiểm gồm CVE-2021-45960, CVE-2022-22825, CVE-2022-22826, CVE-2022-22827 và CVE-2021-46143.

Các sản phẩm bị ảnh hưởng bởi những lỗ hổng trên bao gồm PCoIP client, client SDK, Graphics Agent và Standard Agent cho Windows, Linux và macOS.

Người dùng được khuyến cáo cập nhật lên phiên bản 22.01.3 trở lên, sử dụng OpenSSL 1.1.1n và libexpat 2.4.7.

HP đã tung ra các bản cập nhật bảo mật vào ngày 4 và 5/4/2022 nên bạn hoàn toàn yên tâm nếu đã cập nhật Teradici trong thời gian từ đó tới nay.