Phát hiện các lỗ hổng trong Erlang SSH, Roundcube và WordPress đe dọa người dùng

[WhiteHat Team]

Mới đây, CISA đã thêm hai lỗ hổng bảo mật nghiêm trọng vào danh sách các lỗ hổng đã bị khai thác trên thực tế (Known Exploited Vulnerabilities - KEV), cùng một cảnh báo khác liên quan đến plugin WordPress đang bị đe dọa nghiêm trọng, yêu cầu các cơ quan/tổ chức vá lỗi trước 30/6/2025.

1. Lỗ hổng RCE trong Erlang/OTP SSH

• Mã CVE: CVE-2025-32433 - Mức độ nguy hiểm: 10/10
• Tác động: Cho phép thực thi mã từ xa (RCE) mà không cần xác thực, bằng cách gửi mệnh lệnh SSH trước khi xác thực hoàn tất.
• Thiết bị chịu ảnh hưởng: Máy chủ sử dụng Erlang/OTP SSH - phổ biến trong thiết bị IoT, cơ sở hạ tầng mạng, hệ thống viễn thông và phần mềm như CouchDB hoặc RabbitMQ. Có khoảng 340 server công khai có thể dễ bị tấn công.
• Đã vá: Trong các bản cập nhật tháng 4/2025
• Tình trạng hiện tại: đã có bản vá vào tháng 4/2025, đã có PoC chia sẻ công khai.
• Giải pháp:
  • Cập nhật lên phiên bản OTP-27.3.3, 26.2.5.11 hoặc 25.3.2.20.
  • Giới hạn truy cập SSH, firewall, tắt SSH nếu không dùng.

2. Lỗ hổng XSS trong Roundcube Webmail

• Mã CVE: CVE-2024-42009 - Mức độ nguy hiểm: 9,3/10
• Tác động: Tin tặc có thể thực thi XSS từ email được crafting, từ đó đánh cắp cookie hoặc gửi email dưới danh tính nạn nhân.
• Thiết bị chịu ảnh hưởng: Máy chủ sử dụng Roundcube phiên bản cũ (trước 1.6.8 hoặc 1.5.8).
• Đã được vá từ tháng 8/2024
• Giải pháp:
  • Cập nhật lên v1.6.8 hoặc 1.5.8 trở lên.
  • Phân tích email nghi ngờ khai thác XSS.

3. Cảnh báo mới: Plugin WordPress bị chiếm quyền không cần mật khẩu

• Mã CVE: CVE-2025-31022 - Mức độ nguy hiểm: 9,8/10
• Tác động: Lỗi trong cách xử lý API cho phép kẻ tấn công chiếm quyền kiểm soát bất kỳ người dùng nào của trang web mà không cần bất kỳ mật khẩu hay xác thực nào.
• Ảnh hưởng tới Plugin PayU CommercePro dành cho WordPress các phiên bản 3.8.5 trở xuống (Plugin này hiện có hơn 5000 lượt cài đặt đang hoạt động).
• Giải pháp: Người dùng được khuyên nên hủy kích hoạt và xóa plugin cho đến khi có bản vá lỗi cho lỗ hổng.

Khuyến nghị cho người dùng và các admin:

• Kiểm tra và cập nhật ngay lập tức Erlang/OTP và Roundcube nếu đang sử dụng.
• Với WordPress: Gỡ bỏ plugin PayU CommercePro nếu có cài đặt.
• Không sử dụng email cứng mã trong mã nguồn, tránh mở các API không cần thiết ra công khai.
• Luôn theo dõi các cảnh báo từ CISA hoặc đơn vị bảo mật uy tín để cập nhật sớm các mối đe dọa.

Những lỗ hổng này đều cho phép tin tặc chiếm quyền điều khiển hệ thống hoặc tài khoản mà không cần đăng nhập. Việc cập nhật và kiểm tra hệ thống thường xuyên là cách hiệu quả nhất để bảo vệ dữ liệu và hạ tầng công nghệ của bạn.

Theo The Hacker News​