AWS Amplify Studio lộ lỗ hổng nghiêm trọng cho phép thực thi mã độc từ xa

[WhiteHat Team]

Một lỗ hổng bảo mật cực kỳ nghiêm trọng vừa được phát hiện trong AWS Amplify Studio - nền tảng phát triển giao diện người dùng (UI) trực quan dành cho React. Lỗ hổng này được gán mã định danh CVE-2025-4318, với điểm CVSS 9,5/10, cho phép kẻ tấn công thực thi mã từ xa (RCE) trên máy của lập trình viên hoặc hệ thống tự động CI/CD.

Lỗ hổng xuất hiện trong thư viện @aws-amplify/codegen-ui phiên bản 2.20.2 trở về trước. Đây là thành phần quan trọng của AWS Amplify Studio, nơi lập trình viên có thể tạo giao diện React bằng thao tác kéo-thả, kết hợp các biểu thức động (ví dụ như nhãn, giá trị, placeholder…).

Tuy nhiên, hệ thống không kiểm tra đầu vào một cách an toàn, cho phép kẻ xấu chèn mã JavaScript độc hại vào các tệp JSON định nghĩa giao diện, từ đó có thể:

• Thực thi lệnh hệ thống.
• Truy cập hoặc đánh cắp dữ liệu nhạy cảm.
• Thay đổi file hoặc cài mã độc duy trì quyền truy cập trái phép.

Điểm nguy hiểm là lỗ hổng có thể bị khai thác chỉ bằng cách mở hoặc xử lý một file giao diện bị cài mã độc, nghĩa là không cần thao tác phức tạp từ người dùng. Điều này khiến nó đặc biệt nguy hiểm trong môi trường phát triển làm việc nhóm hoặc hệ thống CI/CD tự động build.

Các nhà nghiên cứu xác định rằng thư viện dễ bị tấn công do sử dụng các hàm đánh giá mã như eval(), new Function() và vm.runInNewContext() để chạy biểu thức từ người dùng mà không có lớp bảo vệ. Một bản demo khai thác đã được công bố, cho thấy kẻ tấn công có thể thực hiện lệnh hệ thống bằng child_process.execSync(), dẫn đến nguy cơ đánh cắp token AWS, biến môi trường, bí mật CI/CD,…

AWS đã phát hành bản vá 2.20.3 cho thư viện @aws-amplify/codegen-ui, bao gồm:

• Loại bỏ việc dùng trực tiếp eval() và thay bằng cơ chế an toàn hơn.
• Thêm sandbox bảo vệ mã, chặn các hàm nguy hiểm như require, process, child_process…
• Kiểm tra và từ chối ngay các biểu thức đáng ngờ.

AWS cũng khuyến cáo tất cả lập trình viên cập nhật ngay lên phiên bản 2.20.3 trở lên, đồng thời kiểm tra lại các file giao diện đang dùng để đảm bảo không có mã độc ẩn bên trong.

Khuyến nghị cho người dùng và doanh nghiệp:

• Cập nhật ngay thư viện @aws-amplify/codegen-ui lên phiên bản mới nhất.
• Rà soát toàn bộ tệp JSON dùng để định nghĩa giao diện trong Amplify Studio.
• Hạn chế chia sẻ component từ nguồn không đáng tin cậy.
• Không dùng eval() hoặc hàm thực thi mã động từ dữ liệu người dùng.

Lỗ hổng này là minh chứng cho thấy một chút bất cẩn trong xử lý dữ liệu người dùng có thể mở đường cho tấn công hệ thống toàn diện, đặc biệt trong thời đại low-code/no-code ngày càng phổ biến.

Theo Cyber Press​