1. Tổng quan và phân tích
Trong hoạt động theo dõi giám sát diễn biến an toàn thông tin trên không gian mạng, Team CMC Telecom Threat Intelligence đã ghi nhận hai lỗ hổng mức độ nghiêm trọng trong Apache Tomcat, CVE-2024-52317 và CVE-2024-52318. Những lỗ hổng bảo mật này bao gồm Request and/or response mix-up và lỗ hổng cross-site scripting (XSS) trong các trang được tạo bằng JSPs.
Tóm tắt hai lỗ hổng bảo mật:
**CVE-2024-52317: Lỗ hổng thuộc loại Request and/or response mix-up.
- Lỗ hổng “Request and/or response mix-up” xảy ra khi hệ thống xử lý HTTP/2 không quản lý đúng các yêu cầu và phản hồi, dẫn đến sự nhầm lẫn giữa yêu cầu hoặc phản hồi của các người dùng khác nhau. Đây là vấn đề nghiêm trọng trong các hệ thống có lưu lượng lớn hoặc yêu cầu xử lý đồng thời như máy chủ web Apache Tomcat.
- Tác động: Lộ lọt thông tin nhạy cảm, chẳng hạn như cookie, token xác thực, hoặc nội dung phản hồi giữa những người dùng khác nhau.
**CVE-2024-52317: Lỗ hổng thuộc loại Cross-Site Scripting (XSS) xảy ra trong các JSP (JavaServer Pages) được sinh ra tự động.
- Nguyên nhân xuất phát từ việc các thẻ JSP được tái sử dụng (pooled JSP tags) không được giải phóng đúng cách sau khi sử dụng, dẫn đến đầu ra của một số thẻ không được “escaped” (chuyển đổi các ký tự đặc biệt thành dạng an toàn). Kết quả là các mã độc hoặc dữ liệu không mong muốn có thể được chèn vào phản hồi HTML, gây nguy cơ XSS.
- XSS (Cross-Site Scripting): Là một lỗ hổng bảo mật khi dữ liệu không được “escaped” đúng cách, dẫn đến việc mã JavaScript độc hại hoặc HTML không mong muốn được nhúng vào trang web, từ đó thực thi trên trình duyệt người dùng.
2. Ảnh hưởng và giảm thiểu rủi ro
Apache Tomcat đã phát hành các bản vá khắc phục hai lỗ hổng này.
| STT | Tên Ứng dụng | Phiên bản ảnh hưởng | Phiên bản cần nâng cấp |
| 1 |
Apache Tomcat |
< 11.0.1 | >= 11.0.1 |
| 2 | < 10.1.33 | >= 10.1.33 | |
| 3 | < 9.0.97 | >= 9.0.97 |
3. Liên quan
