Author: Giang Dao Van

**Tổng quan: Ghi nhận lỗ hổng bảo mật có định danh CVE-2025-49844 trong Redis, có thể cho phép attacker thực thi mã từ xa. Mô tả: Lỗ hổng use-after-free (UAF) trong subsystem Lua của Redis cho phép kẻ tấn công đã xác thực trong Redis có thể gửi một Lua script được làm đặc biệt để thao túng và thoát khỏi sandbox Lua và có thể thực thi mã từ xa trên hệ thống. **Điều kiện khai thác: Kẻ tấn …

1./ Tổng quan Ghi nhận một chiến dịch tấn công chuỗi cung ứng nhắm vào nền tảng npm, sử dụng phishing để chiếm quyền tài khoản maintainer và phát tán mã độc vào các package cực kỳ phổ biến. Mục tiêu là chiếm quyền các giao dịch Web3, chuyển tiền người dùng về tài khoản kẻ tấn công mà không bị phát hiện, bao gồm 18 gói phố biến như (debug, chalk, ansi-styles,…) chi tiết các gói như sau: backslash …

1./ Tổng quan Ngày 26/08/2025, một cuộc tấn công chuỗi cung ứng phần mềm được phát hiện liên quan đến Nx build system trên npm. Nhóm tấn công đã chèn mã độc vào nhiều phiên bản phát hành, khai thác lỗ hổng GitHub Actions để chiếm quyền xuất bản gói. Các phiên bản này chứa script độc hại (telemetry.js) được thực thi sau khi cài đặt, nhắm vào hệ thống phát triển phần mềm của nạn nhân. Mục tiêu chính …

1./ Tổng quan và phân tích. CVE-2025-9074 là lỗ hổng bảo mật mức độ nghiêm trọng, ảnh hưởng đến ứng dụng Docker Desktop dành cho Windows và MacOS. Có khả năng cho phép kẻ tấn công thoát khỏi giới hạn container. Tóm tắt: Container độc hại chạy trên Docker Desktop có thể truy cập Docker Engine và khởi chạy các container bổ sung mà không gắn kết (mount) Docker socket. Điều này có thể cho phép truy cập trái phép …

1./ Tổng quan và phân tích Lỗ hổng bảo mật CVE-2025-53652 ảnh hưởng đến Jenkins Git Parameter Plugin phiên bản trước 439.vb0e46ca14534. Plugin này dùng để tạo các tham số lựa chọn (branch, tag, PR, revision) từ Git SCM trong cấu hình build. Tuy nhiên, plugin không xác thực giá trị đầu vào có khớp với danh sách lựa chọn hay không, dẫn đến khả năng chèn dữ liệu tùy ý vào tham số Git của build. Vấn đề: Tham …

1./ Tổng quan và phân tích. CVE-2025-23319, CVE-2025-23320 và CVE-2025-23334là các lỗ hổng bảo mật ảnh hưởng đến NVIDIA’s Triton Inference Server (cả Linux và Windows). Việc khai thác thành công có thể cho phép kẻ tấn công từ xa, không xác thực có thể chiếm quyền điều khiển server, thực thi mã từ xa. ***Triton Triton được thiết kế như một máy chủ suy luận AI đa năng, có khả năng triển khai các mô hình từ hầu hết …

1./ Tổng quan và phân tích. CVE-2025-54782 là lỗ hổng trong Nestjs/devtools-integration, một công cụ phổ biến được sử dụng để phát triển ứng dụng backend bằng Node.js. Lỗ hổng này có thể cho phép kẻ tấn công thực thi mã từ xa trên máy cục bộ của người dùng lập trình viên. Chi tiết lỗ hổng này như sau: STT Lỗ hổng Mô tả Mức độ 1 CVE-2025-54782 Lỗ hổng bảo mật nằm ở cách xử lý các yêu …

1./ Tổng quan và phân tích. Lỗ hổng bảo mật CVE-2025-53547 trong Helm project – trình quản lý gói phổ biến của Kubernetes có mức độ nghiêm trọng cao cho phép thực thi mã cục bộ trong quá trình cập nhật các phụ thuộc của chart. Với điểm CVSS là 8.5, lỗ hổng này ảnh hưởng đến người dùng Helm đang sử dụng các phiên bản từ 3.18.3 trở xuống, và đã được vá trong phiên bản v3.18.4. Helm thông …

 1./ Tổng quan và phân tích Laravel là PHP framework, mã nguồn mở, được thiết kế để hợp lý hóa phát triển ứng dụng web, cung cấp tính năng mạnh mẽ, bao gồm các hệ thống xác thực toàn diện, quản lý CSDL và định tuyến. APP_KEY là khóa đối xứng độ dài 32-byte được tạo ngẫu nhiên, được Laravel sử dụng nội bộ cho các hoạt động bảo mật quan trọng, bao gồm mã hóa/giải mã dữ liệu và …

1./ Tổng quan và phân tích. CVE-2025-32023 (CVSS: 7.0) là lỗ hổng bảo mật mức độ cao ảnh hưởng đến Redis. Redis là một cơ sở dữ liệu mã nguồn mở, hoạt động trong bộ nhớ (in-memory) có khả năng lưu trữ dữ liệu trên đĩa. Từ phiên bản 2.8 đến trước các phiên bản 8.0.3, 7.4.5, 7.2.10 và 6.2.19, người dùng đã xác thực có thể lợi dụng một chuỗi được tạo đặc biệt để gây ghi dữ liệu …

1./ Tổng quan và phân tích CVE-2025-20309 là lỗ hổng bảo mật mức độ nghiêm trọng trong thiết bị Cisco Unified. STT Lỗ hổng Mô tả Mức độ 1 CVE-2025-20309 Lỗ hổng Hardcode thông tin nhạy cảm trong thiết bị Cisco Unified CM & CM SME cho phép kẻ tấn công có thể sử dụng thông tin này để đăng nhập vào hệ thống với tài khoản root. Nghiêm trọng CVSS Base Score: 10.0 2./ Khuyến nghị và chi tiết …

1./ Tổng qua và phân tích CVE-2025-32463 là lỗ hổng mức độ nghiêm trọng ảnh hưởng đến Sudo, cho phép kẻ tấn công nâng cao đặc quyền (root). Tiện ích Sudo là một công cụ dòng lệnh có đặc quyền được cài đặt sẵn trên các hệ thống Linux, cho phép người dùng được cấp phép thực thi một lệnh với quyền của superuser (root) hoặc người dùng khác, theo chính sách bảo mật được thiết lập. Công cụ này …