Hai lỗ hổng RCE, được theo dõi định danh CVE-2024-24550 và CVE-2024-24551, bắt nguồn từ việc xử lý tải lên tệp không đúng cách trong API tệp và API hình ảnh của Bludit. Những kẻ tấn công, nếu có mã thông báo API, có thể khai thác các này để tải lên và thực thi các tệp PHP độc hại, từ đó xâm phạm máy chủ cơ bản. Dẫn đến hậu quả như phá hoại các trang web, đánh cắp dữ liệu nhạy cảm, phân phối phần mềm độc hại hoặc thậm chí khởi động các cuộc tấn công tiếp theo vào các hệ thống khác. Hành động ngay lập tức là cần thiết để bảo vệ các trang web sử dụng Bludit.
Ngoài các lỗ hổng RCE, hệ thống Bludit CMS còn tồn tại thêm ba lỗ hổng khác:
Session Fixation định danh CVE-2024-24552 cho phép kẻ tấn công có thể chiếm quyền phiên người dùng và truy cập trái phép. Weak Password Hashing định danh CVE-2024-24553 có thể dễ bị tấn công brute-force. Insecure Token Generation định danh CVE-2024-24554: Mã thông báo dễ đoán, cho phép vượt qua bảo mật. Hiện tại, Bludit vẫn chưa đưa ra bất kỳ giải pháp nào cho các lỗ hổng này.
Các chuyên gia khuyến cáo người dùng Bludit nên tắt API nếu không cần thiết để giảm nguy cơ bị tấn công RCE; Theo dõi nhật ký và hoạt động của trang web để phát hiện dấu hiệu bất thường; Nếu người dùng ưu tiên bảo mật cần cân nhắc chuyển sang CMS khác có khả năng khắc phục lỗ hổng tốt hơn. Ngoài ra, người dùng nên theo dõi các bản cập nhật từ nhóm Bludit để đảm bảo an toàn.
Nguyễn Như
09:00 | 31/05/2018
14:00 | 02/07/2024
12:00 | 19/06/2024
07:00 | 23/09/2024
Ngày 12/9, các cơ quan quản lý của Liên minh châu Âu cho biết, họ đang vào cuộc điều tra mô hình ngôn ngữ Pathways 2 (PaLM2) - một trong những mô hình trí tuệ nhân tạo của Google do lo ngại về việc tuân thủ các quy tắc bảo mật dữ liệu GDPR.
15:00 | 04/08/2024
Nvidia đang nghiên cứu một phiên bản chip AI mới dành cho thị trường Trung Quốc. Phiên bản mới này được cho là sẽ tương thích với các biện pháp kiểm soát xuất khẩu hiện tại của Hoa Kỳ.
10:00 | 28/06/2024
Microsoft, Adobe và SAP lần lượt phát hành bản vá cho 229 sản phẩm của mình trong tháng 6. Người dùng cần khẩn trương cài đặt bản vá để phòng tránh rủi ro mất an toàn thông tin.
09:00 | 10/06/2024
Ngày 4/6 vừa qua, Cisco thông báo về bản bảo mật mới sau khi giới truyền thông đưa tin rằng các cuộc họp sử dụng Webex của chính phủ Đức đã bị lộ, có khả năng cho phép đối tượng xấu có được các thông tin nhạy cảm.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Từ chủ trương đúng, ngành Xuất bản đã ứng dụng công nghệ triệt để trong mọi khâu, giúp ngành sách có bước chuyển mình trong kỷ nguyên số.
11:00 | 24/10/2024
