- Các chuyên gia bảo mật đã tiết lộ về một lỗ hổng trong gói util-linux ảnh hưởng đến lệnh "wall". Khi lỗ hổng này bị khai thác, đối tượng tấn công có thể tiết lộ mật khẩu của người dùng và thay đổi nội dung trong bộ nhớ tạm của clipboard trên một số phiên bản Linux.

Lỗ hổng an toàn thông tin có mã CVE-2024-28085, được gọi là WallEscape, xuất phát từ việc không xử lý đúng cách các chuỗi thoát. Khi sử dụng lệnh "wall", nếu không lọc các chuỗi này từ các tham số dòng lệnh, đối tượng tấn công có thể đưa các văn bản tùy ý lên terminal của người dùng khác nếu giá trị mesg được đặt là “y” và của "wall" là “setgid”.

Câu lệnh "wall" thường được dùng để gửi tin nhắn đến terminal của tất cả người dùng đang đăng nhập vào máy chủ, giúp người dùng có quyền tạo thông báo cho tất cả mọi người (ví dụ, thông báo về việc tắt hệ thống). Lỗ hổng CVE2024-28085 lợi dụng việc không lọc các chuỗi thoát từ đối số dòng lệnh, khiến người dùng bị đánh lừa để nhập mật khẩu vào một thông báo sudo giả trên terminal của họ.

Lỗ hổng CVE-2024-28085 có thể bị khai thác khi các điều kiện sau được đáp ứng: tiện ích mesg (quản lý khả năng hiển thị tin nhắn từ người dùng khác) phải được đặt ở giá trị “y” (bật), và câu lệnh “wall” cần phải có quyền setgid. Lỗ hổng CVE-2024-28085 ảnh hưởng đến Ubuntu 22.04 và Debian Bookworm khi các điều kiện này được đáp ứng. Tuy nhiên, CentOS không bị ảnh hưởng do câu lệnh trên hệ điều hành này không có quyền setgid.

Ngoài ra, trên các hệ thống cho phép thông báo được gửi tới người dùng, kẻ tấn công cũng có thể chỉnh sửa nội dung trong clipboard thông qua chuỗi thoát trên các terminal như Windows Terminal. Đáng chú ý, GNOME Terminal không bị ảnh hưởng bởi lỗ hổng này. Người dùng được khuyến nghị nhanh chóng cập nhật lên phiên bản 2.40 của util-linux để tránh bị ảnh hưởng bởi lỗ hổng này.

Thông tin về lỗ hổng được tiết lộ sau khi một chuyên gia bảo mật đã phát hiện một lỗ hổng useafter-free trong hệ thống con netfilter trên Linux Kernel, có khả năng bị khai thác để thực hiện tấn công leo thang đặc quyền. Lỗ hổng này có mã CVE-2024-1086 (Điểm CVSS: 7.8) và tồn tại do sự thiếu sót trong quá trình lọc và xử lý dữ liệu đầu vào của netfilter, cho phép kẻ tấn công thực hiện các cuộc tấn công từ chối dịch vụ hoặc thực thi mã từ xa.

PV