Cụ thể, lỗ hổng định danh CVE-2022-42889 (còn được gọi tên là Text4Shell) có điểm CVSS 9,8 gây ảnh hưởng đến các phiên bản 1.5 đến 1.9 của thư viện.
Lỗ hổng được nhận định tương đối giống với ở chỗ cùng bắt nguồn từ cách thức thay thế chuỗi được thực hiện trong quá trình tra cứu DNS, script và , có thể dẫn đến việc thực thi mã tùy ý trên các hệ thống khi có đầu vào không đáng tin cậy.
Khai thác thành công, tin tặc có thể mở một kết nối reverse shell với ứng dụng một cách đơn giản thông qua payload độc hại, dẫn đường cho các cuộc tấn công tiếp theo.
Lỗ hổng này được báo cáo từ tháng 3. Apache Software Foundation (ASF) đã phát hành phiên bản cập nhật của phần mềm (1.10.0) vào ngày 24/9 và đưa ra khuyến cáo vào ngày 13/10.
Theo thống kê, có tới 2.593 dự án sử dụng thư viện này, tuy nhiên không liệt kê được số lượng những dự án sử dụng phiên bản bị ảnh hưởng. Do đó, người dùng Commons Text được khuyến cáo khẩn trương nâng cấp ứng dụng để giảm thiểu các nguy cơ.
M.H
13:00 | 25/10/2022
15:00 | 14/11/2022
16:00 | 15/11/2022
14:00 | 21/11/2022
09:00 | 10/10/2022
16:00 | 30/09/2022
10:00 | 18/10/2024
GitLab đã phát hành bản cập nhật bảo mật cho Community Edition (CE) và Enterprise Edition (EE) để giải quyết 08 lỗ hổng bảo mật, bao gồm một lỗ hổng nghiêm trọng có thể cho phép thực thi các CI/CD Pipeline tùy ý.
07:00 | 10/09/2024
Trong bối cảnh chuyển đổi số và hội nhập quốc tế ngày càng sâu rộng, Việt Nam đang trở thành mục tiêu hấp dẫn cho các cuộc tấn công chuỗi cung ứng tinh vi. Các doanh nghiệp Việt từ các tổ chức nhỏ đến các tập đoàn lớn đều phải đối mặt với nguy cơ bị tấn công qua những lỗ hổng bảo mật trong hệ thống của đối tác hay nhà cung cấp.
10:00 | 16/08/2024
Vào tháng 5/2024, các nhà nghiên cứu của hãng bảo mật Kaspersky đã phát hiện ra một mối đe dọa APT mới nhắm vào các thực thể Chính phủ Nga. Được gọi là CloudSorcerer, đây là một công cụ gián điệp mạng tinh vi được sử dụng để theo dõi lén lút, thu thập dữ liệu và đánh cắp thông tin thông qua cơ sở hạ tầng đám mây Microsoft Graph, Yandex Cloud và Dropbox. Phần mềm độc hại này tận dụng các tài nguyên đám mây và GitHub làm máy chủ điều khiển và ra lệnh (C2), truy cập chúng thông qua API bằng mã thông báo xác thực. Bài viết này sẽ tiến hành phân tích và giải mã về công cụ gián điệp mạng này, dựa trên báo cáo mới đây của Kaspersky.
14:00 | 05/07/2024
Một phân tích về hệ thống truy cập sinh trắc học lai (hybrid) của nhà sản xuất Trung Quốc ZKTeco đã phát hiện ra 24 lỗ hổng bảo mật có thể bị kẻ tấn công lạm dụng để vượt qua xác thực, đánh cắp dữ liệu sinh trắc học và thậm chí triển khai các backdoor độc hại.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Một lỗ hổng bảo mật hiện đã được vá trong ứng dụng ChatGPT của OpenAI dành cho macOS có thể cho phép kẻ tấn công cài phần mềm gián điệp vào bộ nhớ của công cụ trí tuệ nhân tạo (AI).
11:00 | 24/10/2024
