CẢNH BÁO NGUY HIỂM: RCE

Một lỗ hổng bảo mật cực kỳ nghiêm trọng vừa được tiết lộ trong Gogs, dịch vụ Git tự lưu trữ mã nguồn mở phổ biến. Lỗ hổng này cho phép người dùng đã xác thực thực thi mã tùy ý (RCE) trên máy chủ dưới các điều kiện nhất định, đe dọa trực tiếp đến tính toàn vẹn của dữ liệu doanh nghiệp.

Chi tiết lỗ hổng Gogs RCE (CVSS 9.4)

Theo báo cáo từ Rapid7, lỗ hổng này đạt mức điểm nguy hiểm 9.4 trên thang đo CVSS. Điểm đặc biệt nguy hiểm là nó cho phép bất kỳ người dùng nào có quyền truy cập cơ bản cũng có thể leo thang đặc quyền và chiếm quyền kiểm soát máy chủ.

Mức độ
Critical (Nghiêm trọng)

Điểm CVSS
9.4

Trạng thái vá
Chưa có bản vá

Nền tảng ảnh hưởng
Windows, Linux, macOS

Cơ chế tấn công thông qua Git Rebase

Lỗ hổng phát sinh từ việc tiêm đối số (argument injection) vào lệnh git rebase. Kẻ tấn công có thể tạo một Pull Request với tên nhánh chứa cờ --exec độc hại. Khi hệ thống thực hiện thao tác "Rebase before merging", lệnh đính kèm sẽ được thực thi trên hệ điều hành của máy chủ.

Đáng lưu ý, cuộc tấn công này không yêu cầu quyền quản trị. Trên các phiên bản Gogs để cấu hình mặc định, bất kỳ ai cũng có thể tạo tài khoản và thực hiện khai thác ngay lập tức.

Tác động và rủi ro hệ thống

Khai thác thành công lỗ hổng này có thể dẫn đến các hậu quả thảm khốc:

Chiếm quyền điều khiển máy chủ: Thực thi các lệnh hệ thống để cài đặt mã độc hoặc backdoor.
Rò rỉ dữ liệu xuyên thấu: Truy cập và đánh cắp mã nguồn từ các kho lưu trữ riêng tư của người dùng khác trên cùng máy chủ.
Tấn công chuỗi cung ứng: Chèn mã độc trực tiếp vào các dự án phần mềm đang được lưu trữ trên Gogs.
Leo thang mạng lưới: Sử dụng máy chủ Gogs làm bàn đạp để tấn công sâu hơn vào hạ tầng nội bộ của doanh nghiệp.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO QUẢN TRỊ VIÊN

Trong khi chờ đợi bản vá chính thức từ nhà phát triển, TMGS khuyến nghị các doanh nghiệp thực hiện ngay lập tức các biện pháp giảm thiểu rủi ro sau:

✅ Vô hiệu hóa đăng ký: Thiết lập DISABLE_REGISTRATION = true trong file app.ini để chặn người lạ tạo tài khoản.
✅ Hạn chế tạo Repo: Thiết lập MAX_CREATION_LIMIT = 0 để ngăn chặn người dùng hiện tại tạo kho lưu trữ mới phục vụ mục đích khai thác.
✅ Giám sát hệ thống: Kiểm tra các file log để tìm kiếm lỗi HTTP 500 bất thường hoặc các lệnh git lạ.
✅ Kiểm toán Rebase: Rà soát lại tất cả các quyền ghi và cấu hình rebase trên các kho lưu trữ quan trọng.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo lỗ hổng RCE nghiêm trọng trong dịch vụ Gogs cho phép thực thi mã từ xa