Zoho vá lỗ hổng nghiêm trọng CVE-2025-1723 trong ADSelfService Plus

[WhiteHat Team]

Zoho Corporation vừa phát hành cảnh báo bảo mật về lỗ hổng nghiêm trọng trong ADSelfService Plus – giải pháp bảo mật danh tính phổ biến. Lỗ hổng này, được theo dõi với mã CVE-2025-1723, có thể cho phép kẻ tấn công chiếm quyền tài khoản và truy cập trái phép dữ liệu đăng ký người dùng khi tính năng xác thực đa yếu tố (MFA) chưa được kích hoạt.

​

Lỗ hổng CVE-2025-1723 có thể dẫn đến chiếm quyền tài khoản​

Theo Zoho, nguyên nhân của lỗ hổng này là do quản lý phiên không hợp lý, khiến tin tặc có thể khai thác để xâm nhập tài khoản mà không cần thông tin xác thực hợp lệ. Nếu MFA chưa được bật, rủi ro mất quyền kiểm soát tài khoản sẽ càng cao.

Zoho phát hành bản vá ADSelfService Plus 6511​

Zoho đã xác nhận rằng lỗ hổng CVE-2025-1723 đã được khắc phục trong phiên bản ADSelfService Plus 6511.

"Lỗi này đã được giải quyết bằng cách đảm bảo dữ liệu đăng ký chỉ có thể truy cập bởi người dùng có phiên đăng nhập hợp lệ," – Zoho cho biết.

Người dùng cần cập nhật ngay lên phiên bản 6511 hoặc cao hơn để bảo vệ tài khoản khỏi nguy cơ bị chiếm quyền.

Tại sao cần bật xác thực đa yếu tố (MFA)?​

Lỗ hổng CVE-2025-1723 một lần nữa nhấn mạnh tầm quan trọng của xác thực đa yếu tố (MFA) trong bảo mật tài khoản. Khi bật MFA, ngay cả khi tin tặc có được thông tin đăng nhập, chúng vẫn không thể truy cập vào hệ thống mà không có lớp bảo mật thứ hai.

• Không bật MFA = Tăng nguy cơ bị tấn công
• Bật MFA = Giảm rủi ro chiếm quyền tài khoản

Bạn cần làm gì ngay bây giờ?​

• Cập nhật ADSelfService Plus lên phiên bản 6511 hoặc cao hơn ngay lập tức.
• Bật xác thực đa yếu tố (MFA) để bảo vệ tài khoản.
• Luôn theo dõi các bản cập nhật bảo mật từ Zoho để đảm bảo hệ thống an toàn.

Theo Security Online​