Hệ thống quản trị nội dung mã nguồn mở Drupal (Drupal CMS) là một trong các hệ quản trị nội dung được sử dụng khá phổ biến để xây dựng các Trang/Cổng thông tin điện tử, ứng dụng web (gọi chung là website) cho các cơ quan, đơn vị. Với ưu điểm là đơn giản, linh hoạt hỗ trợ nhiều loại cơ sở dữ liệu như MySQL, PostgreSQL, SQLite, MS SQL Server, Oracle và có thể mở rộng để hỗ trợ các cơ sở dữ liệu NoSQL. Tại Việt Nam, Drupal thường được sử dụng phổ biến đối với các website có quy mô vừa và nhỏ, ít được sử dụng cho các hệ thống nghiệp vụ quan trọng của các tổ chức Ngân hàng, tài chính.
Qua công tác hỗ trợ một số đơn vị khắc phục sự cố do Drupal vừa qua, VNCERT nhận thấy, thực tế website do đối tác bên ngoài xây dựng không bàn giao đầy đủ nên các đơn vị vận hành website, thậm chí cả cán bộ kỹ thuật chủ chốt không nắm rõ Trang/Cổng thông tin điện tử được phát triển trên nền tảng Drupal. Do đó dẫn đến tình trạng chủ quan, bỏ qua lỗ hổng bảo mật đã được cảnh báo, có thể bị tấn công gây mất an toàn thông tin. Chính vì vậy, VNCERT đề nghị các cơ quan, tổ chức quan tâm kiểm tra để phát hiện triệt để các website có sử dụng Drupal.
Tính từ năm 2017 tới nay, Drupal đã công bố 7 lỗ hổng bảo mật. Riêng từ cuối tháng 3/2018, Drupal đã phát hiện tồn tại 2 lỗ hổng bảo mật có mức độ nghiêm trọng cần được theo dõi, xử lý khẩn cấp. Cụ thể:
Lỗ hổng thứ nhất là SA-CORE-2018-002 (hoặc CVE-2018-7600) cho phép thực thi các lệnh điều khiển từ xa trái phép được công bố ngày 28/3/2018. Lỗ hổng này cho phép tin tặc tấn công từ xa, tải tệp tin trái phép, thay đổi giao diện… tồn tại trên nhiều phiên bản khác nhau của Drupal. Trong thực tế đã ghi nhận, tin tặc đã khai thác lỗ hổng này để phục vụ đào tiền ảo.
Lỗ hổng thứ hai là SA-CORE-2018-003 - liên quan đến các cuộc tấn công kịch bản liên trang (Cross Site Scripting), được công bố ngày 18/4/2018. Lỗ hổng này tồn tại trong ứng dụng CKEditor - là ứng dụng xây dựng trên nền tảng Java Script được tích hợp trong phần mềm Drupal. Tin tặc có thể thực thi tấn công XSS thông qua CKEditor khi sử dụng Plugin Image2 (Plugin này cũng được sử dụng trong phiên bản Drupal 8).
Theo đó, VNCERT đưa ra các giải pháp xử lý, khắc phục đối với từng lỗ hổng.
Với lỗ hổng SA-CORE-2018-002, VNCERT cho biết, Drupal đã cung cấp khá đầy đủ các bản vá và xử lý lỗi cho lỗ hổng này, quản trị hệ thống cần xem xét xử lý theo hướng dẫn được tổng hợp từ Drupal. Nếu sử dụng Drupal 7.x cần nâng cấp lên phiên bản 7.5.8; sử dụng phiên bản Drupal 8.3, 8.4, 8.5.x thì cập nhật lên phiên bản 8.5.1. Trong trường hợp không thể thực hiện thì có thể sử dụng 2 biện pháp tạm thời gồm: nếu đang sử dụng Drupal 8.3.x thì nâng cấp lên phiên bản 8.3.9 và cài đặt bản vá; nếu đang sử dụng Drupal 8.4.x thì nâng cấp lên phiên bản 8.4.6 và cài đặt bản vá. Tuy nhiên, các biện pháp tạm thời này vẫn còn tiềm ẩn nhiều rủi ro mất an toàn thông tin khác.
Ngoài giải pháp cập nhật Drupal, VNCERT cũng khuyến nghị các cơ quan, đơn vị các giải pháp hỗ trợ khác để xử lý, khắc phục như: thiết lập thiết bị IPS, tường lửa bảo vệ 7 lớp hoặc tường lửa bảo vệ ứng dụng web (web application firewall) và cập nhật đầy đủ thông tin để có thể ngăn chặn được các tấn công lỗ hổng. Với các thiết bị chưa được nhà sản xuất cập nhật khả năng ngăn chặn tấn công SA-CORE-2018-002, các cơ quan, đơn vị tham khảo đoạn mã phát hiện tấn công được viết cho phần mềm phát hiện xâm nhập nguồn mở Snort.
Đối với lỗ hổng SA-CORE-2018-003, nếu sử dụng Drupal 8, cần nâng cấp lên bản 8.5.2 hoặc 8.4.7; sử dụng Drupal 7.x, chỉ bị ảnh hưởng bởi lỗ hổng trên nếu sử dụng CKEditor module 7.x-1.18 hoặc CKEditor từ CDN; nếu cài đặt CKEditor với Drupal 7 bằng các phương thức riêng (như sử dụng WYSIWYG module, CKEditor locally) và sử dụng các phiên bản CKEditor từ 4.5.11 tới 4.9.1 thì cần cập nhật thư viện third-party JavaScript library tại địa chỉ .
Do Drupal là phần mềm mã nguồn mở, nên việc hỗ trợ từ cộng đồng và nhà sản xuất còn hạn chế. Trong quá trình cập nhật dễ xảy ra những sai sót. Vì vậy, các cơ quan, đơn vị cần thử nghiệm và nghiên cứu kỹ trước khi thực hiện các biện pháp cập nhật cho những hệ thống lớn, yêu cầu tính sẵn sàng cao để hạn chế rủi ro.
MT (Theo VNCERT)
13:00 | 01/08/2024
Một loạt công ty công nghệ hàng đầu thế giới bị cáo buộc đã huấn luyện các mô hình AI của họ trên dữ liệu của hơn 173.000 video trên YouTube mà không xin phép.
09:00 | 25/07/2024
Ngày 18/7, nhà cung cấp thuốc kê đơn điện tử MediSecure thông báo 12,9 triệu khách hàng đã bị đánh cắp dữ liệu cá nhân, trong đó một lượng lớn dữ liệu đã bị tải lên “web đen”. MediSecure lần đầu tiên biết đến vụ xâm phạm dữ liệu này hôm 13/4, khi phát hiện mã độc ransomware trên một máy chủ chứa dữ liệu nhạy cảm về sức khỏe và cá nhân, sau đó công khai xác nhận vụ tấn công vào tháng 5.
08:00 | 22/07/2024
Bản tin podcast ngày hôm nay xin mời quý vị lắng nghe về các sự kiện quan trọng, tiêu biểu của ngành Cơ yếu Việt Nam liên quan đến ngày 22 tháng 7 mà Tạp chí An toàn thông tin điện tử tổng hợp.
08:00 | 30/06/2024
Trung tuần tháng 6, Công ty Snap (chủ sở hữu Snapchat, Mỹ) ra mắt phiên bản mới nhất của công nghệ AI tổng hợp có tên Lens Studio, cho phép người dùng xem các hiệu ứng đặc biệt chân thực hơn khi sử dụng máy ảnh điện thoại để tự quay phim.
Ngày 18/8/1980 là một trong những ngày đặc biệt trong quá trình xây dựng chuyên đề Ngày này năm xưa mà Tạp chí An toàn thông tin điện tử tổng hợp. Bởi ngày này năm 1980, Đại tướng Hoàng Văn Thái, Thứ trưởng Bộ Quốc phòng đã ký Quyết định về việc lấy ngày 12/9/1945 là Ngày truyền thống của ngành Cơ yếu Việt Nam.
13:00 | 18/08/2024
Sáng ngày 07/8/2024, tại Hà Nội, Tạp chí An toàn thông tin đã tổ chức Hội nghị Hội đồng biên tập Ấn phẩm An toàn thông tin năm 2024. Đồng chí Thiếu tướng, TS. Nguyễn Hữu Hùng, Phó Trưởng ban Ban Cơ yếu Chính phủ, Chủ tịch Hội đồng biên tập Ấn phẩm An toàn thông tin chủ trì Hội nghị. Tham dự Hội nghị có các đồng chí trong Hội đồng biên tập Ấn phẩm An toàn thông tin; đại diện lãnh đạo một số cơ quan, đơn vị thuộc Ban và cán bộ thuộc Tạp chí An toàn thông tin.
16:00 | 07/08/2024
Ngày 18/8, tại thành phố Quy Nhơn, tỉnh Bình Định, Lễ khởi công Dự án Trung tâm Trí tuệ nhân tạo - Đô thị phụ trợ đã chính thức diễn ra. Dự án trọng điểm này bao gồm 3 phân khu chức năng chính: Trung tâm trí tuệ nhân tạo, Khu giáo dục và đào tạo, và Khu đô thị phụ trợ.
16:00 | 21/08/2024