Phiên bản hệ điều hành chưa trả lời hết câu hỏi
Một tập lệnh bật tính năng thử lại khi tải gói thất bại có thể làm thay đổi kết quả đánh giá rủi ro của máy Debian hoặc Ubuntu. Đó là chi tiết đáng chú ý trong lỗ hổng APT vừa được công bố: những bản phát hành cũ không bị ảnh hưởng theo cấu hình mặc định vẫn cần được kiểm tra cách vận hành thực tế.
Theo Ubuntu, Debian 11 và Ubuntu 20.04 không bị ảnh hưởng ở cấu hình mặc định. Tuy nhiên, nhóm phát triển APT cho biết nhiều tập lệnh của người dùng có thể đã bật thiết lập Acquire::Retries trên các phiên bản này. Từ Debian 12 và Ubuntu 22.04 trở đi, việc thử lại các lượt tải thất bại được bật mặc định.
Theo TMGS, đây là lý do danh sách phiên bản hệ điều hành chỉ nên là bước đầu của việc khoanh vùng. Đội vận hành còn phải xác định cấu hình mà công cụ thực sự sử dụng, bao gồm những thiết lập do tập lệnh tự động hóa đưa vào.
Gói đã kiểm tra vẫn có thể bị thay thế
Lỗ hổng cho phép kẻ có khả năng sửa đổi nội dung tải xuống thay một gói đã được kiểm tra bằng gói của chúng. Theo các khuyến cáo mà Debian, Ubuntu và nhóm phát triển APT công bố ngày 4 tháng 11, mã của kẻ tấn công sau đó chạy với quyền root khi máy cài đặt gói.
Điều kiện khai thác cần được đọc đầy đủ: APT phải thử lại lượt tải thất bại, đồng thời kẻ tấn công phải can thiệp được vào nội dung tải xuống. Ubuntu cho biết bên có khả năng sửa đổi lưu lượng HTTP giữa APT và máy chủ gói có thể thực hiện việc này, bao gồm máy nhân bản hoặc proxy độc hại.
Về mặt kỹ thuật, điều đáng lo là sự liên hệ giữa bước kiểm tra và gói cuối cùng được cài đặt có thể bị phá vỡ. Theo nhận định của TMGS, doanh nghiệp cần xem đường tải gói là một phần của phạm vi rà soát, bên cạnh cấu hình APT và bản cập nhật bảo mật.
Nhóm phát triển APT đánh giá lỗ hổng là nghiêm trọng. Ubuntu xếp mức ưu tiên cao và chấm 7,7 theo CVSS 4.0. Những đánh giá này cần đi cùng điều kiện khai thác khi doanh nghiệp quyết định thứ tự xử lý từng nhóm máy.
Đưa cấu hình thực tế vào kế hoạch cập nhật
Ubuntu đã đưa các bản dựng APT mới cho bốn bản phát hành vào kho bảo mật lúc 14:25 UTC ngày 4 tháng 11. Nhóm phát triển APT cũng cho biết các bản cập nhật cho Ubuntu và dịch vụ Ubuntu Pro đang được phát hành. Thông tin này là cơ sở để kiểm tra thông báo áp dụng cho từng bản phát hành và đối chiếu với gói đang cài.
TMGS khuyến nghị đội vận hành thực hiện ba việc gắn với nhau:
- Kiểm kê APT và thiết lập thử lại: kiểm tra cả cấu hình trên máy lẫn các tập lệnh cài đặt, cập nhật gói; đưa Debian 11 và Ubuntu 20.04 vào rà soát nếu có bật Acquire::Retries.
- Rà soát đường tải gói: xác định máy chủ gói, máy nhân bản và proxy mà hệ thống sử dụng; kiểm tra các thay đổi cấu hình ngoài dự kiến và giới hạn quyền sửa cấu hình liên quan.
- Xác nhận bản sửa đã được cài: đối chiếu gói APT thực tế với thông báo bảo mật của bản phân phối, đồng thời theo dõi những máy chưa cập nhật được.
Với doanh nghiệp Việt Nam giao vận hành Linux cho đối tác, TMGS khuyến nghị yêu cầu báo cáo theo từng nhóm máy, gồm phiên bản APT, thiết lập thử lại và kết quả cập nhật. Một xác nhận chung rằng hệ điều hành thuộc nhánh cũ sẽ thiếu dữ liệu cần thiết để đánh giá trường hợp này.
Bài học vận hành ở đây khá cụ thể: một tùy chọn giúp vượt qua lỗi tải xuống cũng có thể quyết định hệ thống có nằm trong điều kiện khai thác hay không. Phiếu rà soát cần ghi nhận tùy chọn ấy.