Thoại Viết Hoàng✔
Writer
Terminal2Shell tuyên bố phát hiện một lỗ hổng bảo mật tồn tại từ năm 1971, có thể ảnh hưởng đến hơn 2 tỷ thiết bị. Theo trang web này, bất kỳ ai mở cửa sổ Terminal (thiết bị đầu cuối) đều có thể truy cập vào giao diện dòng lệnh để thực thi lệnh trên thiết bị.
Tuy nhiên, đây không phải là một lỗ hổng bảo mật thực sự. Terminal2Shell là một website mang tính châm biếm, dùng cách diễn đạt giật gân để biến một tính năng vốn có của máy tính thành một mối đe dọa tưởng tượng.
Trang web đặt tên cho “lỗ hổng” này là TermGeddon, ghi mã CVE ở trạng thái chờ cấp và công bố điểm nguy hiểm CVSS 11/10. Chi tiết này đã cho thấy dấu hiệu bất thường, bởi thang điểm CVSS chính thức chỉ có mức tối đa 10/10.
Vì sao Terminal2Shell không phải lỗ hổng bảo mật?
Theo mô tả của website, người dùng chỉ cần có quyền truy cập trực tiếp vào thiết bị, bàn phím và mở được cửa sổ dòng lệnh. Sau đó, họ có thể thực hiện các lệnh bằng quyền của tài khoản đang đăng nhập.
Nhưng đây vốn là cách Terminal hoạt động bình thường. Người sử dụng máy tính có quyền mở Terminal và nhập lệnh thì đương nhiên có thể điều khiển thiết bị trong phạm vi quyền hạn của tài khoản đó.
Một lỗ hổng bảo mật thực sự phải tạo ra khả năng vượt qua giới hạn bảo vệ, chẳng hạn cho phép kẻ tấn công truy cập trái phép từ xa, vượt qua xác thực hoặc chiếm quyền của người dùng khác. Terminal2Shell không chứng minh được bất kỳ khả năng nào như vậy.
Terminal2Shell khác gì những lỗ hổng Shell thực sự?
Một số lỗ hổng bảo mật khác có tên gọi tương tự nhưng gây ra rủi ro thực tế, bởi chúng cho phép tin tặc khai thác phần mềm để xâm nhập hệ thống mà không cần quyền truy cập ban đầu như người dùng hợp pháp.
- Able2Shell: N-able từng phải tạm ngừng hoạt động các máy chủ N-central sau khi phát hiện các lỗ hổng bảo mật. Theo báo cáo của Huntress, các nhà nghiên cứu xác định được 4 chuỗi khai thác, trong đó 3 chuỗi có thể dẫn đến thực thi mã từ xa.
- Plex2Shell: Tin tặc được cho là đã khai thác các lỗ hổng trong Plex để cài đặt phần mềm đào tiền mã hóa sau khi mã khai thác được công khai. Phiên bản được báo cáo đã khắc phục vấn đề là Plex Media Server 1.43.3.10861.
- PHP2Shell: Các nhà nghiên cứu ghi nhận tin tặc kết hợp lỗ hổng này với một lỗ hổng khác trong nhân Linux để chiếm quyền quản trị cao nhất (root) trên 25 máy chủ. Điều này cho thấy việc vá lỗi ứng dụng không đồng nghĩa với hệ điều hành bên dưới đã an toàn.
- HTTP2Shell và Node2Shell: Các vấn đề này liên quan đến lỗi xử lý dữ liệu Brotli, có thể gây sập chương trình hoặc thực thi mã trong những điều kiện nhất định. Người dùng Node.js được khuyến nghị kiểm tra và cập nhật lên các phiên bản đã vá lỗi được nêu trong báo cáo: 22.23.4, 24.22.1 và 26.12.1.
- WP2Shell: Theo báo cáo, lỗ hổng cho phép tin tặc tạo tài khoản quản trị WordPress và cài đặt web shell mà không cần đăng nhập. Các phiên bản được báo cáo đã vá lỗi gồm WordPress 6.8.6, 6.9.5 và 7.0.2.
Bài học từ câu chuyện Terminal2Shell
Terminal2Shell không phải lỗ hổng cần bản vá khẩn cấp. Đây là ví dụ cho thấy những thuật ngữ như zero-day, CVE hay CVSS có thể bị sử dụng để tạo cảm giác nguy hiểm, ngay cả khi không có bằng chứng về một cuộc tấn công thực sự.
Khi tiếp nhận thông tin về một lỗ hổng bảo mật, người dùng cần kiểm tra 4 yếu tố: Phần mềm hoặc thiết bị nào bị ảnh hưởng? Kẻ tấn công cần quyền truy cập gì? Khả năng khai thác đã được chứng minh chưa? Và nhà phát triển đã có bản vá hay chưa?
Không phải cứ một tính năng có thể thực thi lệnh là một lỗ hổng bảo mật. Điều quan trọng là nó có cho phép kẻ tấn công làm được điều vốn không có quyền thực hiện hay không.
Tuy nhiên, đây không phải là một lỗ hổng bảo mật thực sự. Terminal2Shell là một website mang tính châm biếm, dùng cách diễn đạt giật gân để biến một tính năng vốn có của máy tính thành một mối đe dọa tưởng tượng.
Trang web đặt tên cho “lỗ hổng” này là TermGeddon, ghi mã CVE ở trạng thái chờ cấp và công bố điểm nguy hiểm CVSS 11/10. Chi tiết này đã cho thấy dấu hiệu bất thường, bởi thang điểm CVSS chính thức chỉ có mức tối đa 10/10.
Vì sao Terminal2Shell không phải lỗ hổng bảo mật?
Theo mô tả của website, người dùng chỉ cần có quyền truy cập trực tiếp vào thiết bị, bàn phím và mở được cửa sổ dòng lệnh. Sau đó, họ có thể thực hiện các lệnh bằng quyền của tài khoản đang đăng nhập.
Nhưng đây vốn là cách Terminal hoạt động bình thường. Người sử dụng máy tính có quyền mở Terminal và nhập lệnh thì đương nhiên có thể điều khiển thiết bị trong phạm vi quyền hạn của tài khoản đó.
Một lỗ hổng bảo mật thực sự phải tạo ra khả năng vượt qua giới hạn bảo vệ, chẳng hạn cho phép kẻ tấn công truy cập trái phép từ xa, vượt qua xác thực hoặc chiếm quyền của người dùng khác. Terminal2Shell không chứng minh được bất kỳ khả năng nào như vậy.
Terminal2Shell khác gì những lỗ hổng Shell thực sự?
Một số lỗ hổng bảo mật khác có tên gọi tương tự nhưng gây ra rủi ro thực tế, bởi chúng cho phép tin tặc khai thác phần mềm để xâm nhập hệ thống mà không cần quyền truy cập ban đầu như người dùng hợp pháp.
- Able2Shell: N-able từng phải tạm ngừng hoạt động các máy chủ N-central sau khi phát hiện các lỗ hổng bảo mật. Theo báo cáo của Huntress, các nhà nghiên cứu xác định được 4 chuỗi khai thác, trong đó 3 chuỗi có thể dẫn đến thực thi mã từ xa.
- Plex2Shell: Tin tặc được cho là đã khai thác các lỗ hổng trong Plex để cài đặt phần mềm đào tiền mã hóa sau khi mã khai thác được công khai. Phiên bản được báo cáo đã khắc phục vấn đề là Plex Media Server 1.43.3.10861.
- PHP2Shell: Các nhà nghiên cứu ghi nhận tin tặc kết hợp lỗ hổng này với một lỗ hổng khác trong nhân Linux để chiếm quyền quản trị cao nhất (root) trên 25 máy chủ. Điều này cho thấy việc vá lỗi ứng dụng không đồng nghĩa với hệ điều hành bên dưới đã an toàn.
- HTTP2Shell và Node2Shell: Các vấn đề này liên quan đến lỗi xử lý dữ liệu Brotli, có thể gây sập chương trình hoặc thực thi mã trong những điều kiện nhất định. Người dùng Node.js được khuyến nghị kiểm tra và cập nhật lên các phiên bản đã vá lỗi được nêu trong báo cáo: 22.23.4, 24.22.1 và 26.12.1.
- WP2Shell: Theo báo cáo, lỗ hổng cho phép tin tặc tạo tài khoản quản trị WordPress và cài đặt web shell mà không cần đăng nhập. Các phiên bản được báo cáo đã vá lỗi gồm WordPress 6.8.6, 6.9.5 và 7.0.2.
Bài học từ câu chuyện Terminal2Shell
Terminal2Shell không phải lỗ hổng cần bản vá khẩn cấp. Đây là ví dụ cho thấy những thuật ngữ như zero-day, CVE hay CVSS có thể bị sử dụng để tạo cảm giác nguy hiểm, ngay cả khi không có bằng chứng về một cuộc tấn công thực sự.
Khi tiếp nhận thông tin về một lỗ hổng bảo mật, người dùng cần kiểm tra 4 yếu tố: Phần mềm hoặc thiết bị nào bị ảnh hưởng? Kẻ tấn công cần quyền truy cập gì? Khả năng khai thác đã được chứng minh chưa? Và nhà phát triển đã có bản vá hay chưa?
Không phải cứ một tính năng có thể thực thi lệnh là một lỗ hổng bảo mật. Điều quan trọng là nó có cho phép kẻ tấn công làm được điều vốn không có quyền thực hiện hay không.
