Phát hiện 14 lỗ hổng trong tiện ích BusyBox Linux

Các nhà nghiên cứu an ninh mạng đã tiết lộ 14 lỗ hổng bảo mật nghiêm trọng trong tiện ích BusyBox Linux. Các lỗ hổng bảo mật với mã định danh từ CVE-2021-42373 đến CVE-2021-42386, ảnh hưởng đến nhiều phiên bản khác nhau từ 1.16 đến 1.33.1.

BusyBox được mệnh danh là con dao quân đội Thụy Sĩ. Nó còn là một bộ phần mềm kết hợp với nhiều ứng dụng Unix phổ biến khác (ví dụ: cp, Is, grep) thành một tệp thực thi duy nhất để chạy trên các hệ thống Linux khác như lập trình bộ điều khiển logic (PLC), giao diện người máy (HMI), và thiết bị đầu cuối từ xa (RTU).

Dưới đây là danh sách nhanh các lỗ hổng bảo mật và các applet mà lỗ hổng bảo mật tác động:

man - CVE-2021-42373
lzma / unlzma - CVE-2021-42374
ash - CVE-2021-42375
hush - CVE-2021-42376, CVE-2021-42377
awk - CVE-2021-42378, CVE-2021-42379, CVE-2021-42380, CVE-2021-42381, CVE-2021-42382, CVE-2021-42383, CVE-2021-42384, CVE-2021-42385, CVE-2021-42386

Việc các hacker khai thác thành công các lỗ hổng có thể dẫn các vụ tấn công từ chối dịch vụ DDoS, tiết lộ thông tin nhạy cảm và có khả năng thực thi mã từ xa. May thay, các điểm yếu đã được giải quyết trong BusyBox phiên bản 1.34.0 mới nhất, và được phát hành vào ngày 19 tháng 8.

Shachar Menashe, giám đốc cấp cao tại Frog cho biết: "Sự gia tăng lỗ hổng của BusyBox cần được các nhóm bảo mật giải quyết. Do đó, chúng tôi khuyến khích các công ty nâng cấp phiên bản BusyBox hoặc đảm bảo rằng họ không sử dụng bất kỳ ứng dụng nào bị ảnh hưởng."

Chia sẻ bài viết này