Theo The Hacker News, các nhà nghiên cứu an ninh mạng đã công bố các mới trong trình soạn thảo văn bản Etherpad (phiên bản 1.8.13) có khả năng cho phép những kẻ tấn công chiếm đoạt tài khoản quản trị viên, thực thi các lệnh trên hệ thống và đánh cắp các tài liệu nhạy cảm.

Hai lỗ hổng với mã định danh CVE-2021-34816 và CVE-2021-34817 đã được các nhà nghiên cứu từ SonarSource (Thụy Sĩ) phát hiện và báo cáo vào ngày 4/6/2021, sau đó được vá trong phiên bản 1.8.14 của Etherpad được phát hành vào ngày 4/7/2021.

Chuyên gia Paul Gerste tại SonarSource cho biết: "Lỗ hổng XSS cho phép kẻ tấn công phiên người dùng Etherpad, bao gồm cả quản trị viên. Điều này có thể được sử dụng để đánh cắp hoặc sửa đổi các . Một lỗ hổng khác nguy hiểm hơn cho phép thực thi mã tuỳ ý trên máy chủ. Lỗ hổng này ngoài việc cho phép thao tác với dữ liệu trên máy chủ còn cho phép tấn công các máy chủ khác trong cùng mạng”.

Lỗ hổng XSS (CVE-2021-34817) nằm trong tính năng trò chuyện do Etherpad cung cấp, với thuộc tính "userId" của một tin nhắn trong cuộc hội thoại. Thông tin này không được loại bỏ các ký tự đặc biệt, từ đó cho phép kẻ tấn công chèn mã JavaScript độc hại vào lịch sử trò chuyện và thực hiện các hành động với tư cách là người dùng nạn nhân.

Hình 1: Đoạn mã chứa lỗ hổng XSS

Lỗ hổng nghiêm trọng thực thi lệnh CVE-2021-34816 liên quan đến cách Etherpad quản lý các plugin, trong đó, tên của gói được cài đặt sẽ được nối vào câu lệnh "npm install” mà không đi qua bất kỳ bộ lọc nào, dẫn đến kẻ tấn công có thể cài đặt một plugin độc hại để chiếm quyền quản trị máy chủ bằng cách trỏ đường dẫn đến máy chủ độc hại.

Hình 2: Đoạn mã thực thi câu lệnh "npm install:

Việc kết hợp hai lỗ hổng cho phép kẻ tấn công chiếm quyền quản trị máy chủ từ xa, sử dụng XSS để chiếm phiên của tài khoản quản trị, sau đó thực thi lệnh trên máy chủ qua lỗ hổng thứ hai.

Các nhà phát triển phần mềm cho ứng dụng Etherpad đã khắc phục lỗ hổng XSS trong thành phần Chat. Họ cũng đưa ra khuyến cáo cập nhật lên phiên bản 1.8.14 nhanh nhất có thể. Nhưng trong phiên bản này thì lỗ hổng thực thi mã tuỳ ý vẫn chưa được vá, vì độ khó để thực hiện tấn công cũng như công sức bỏ ra vá lỗ hổng này là quá lớn.