-
09/04/2020
-
94
-
675 bài viết
Lỗ hổng SQL Injection nghiêm trọng đe dọa người dùng Apache Fineract
Một lỗ hổng nghiêm trọng đã được phát hiện trong Apache Fineract, nền tảng mã nguồn mở phổ biến được sử dụng để xây dựng hệ thống ngân hàng lõi cho các dịch vụ tài chính số.
Lỗ hổng này có mã CVE-2024-32838, được đánh giá điểm 9,4. Những người bị ảnh hưởng nhiều nhất là các nhóm dân cư chưa có tài khoản ngân hàng hoặc ít có cơ hội tiếp cận dịch vụ ngân hàng - đây chính là đối tượng mà Fineract hướng đến để hỗ trợ.
Cụ thể đây là một lỗi SQL Injection ảnh hưởng đến nhiều endpoint API, bao gồm cả các endpoint liên quan đến văn phòng và bảng điều khiển. Theo cảnh báo chính thức, các phiên bản Apache Fineract 1.9 và trước đó có một lỗ hổng cho phép kẻ tấn công đã xác thực chèn dữ liệu độc hại vào tham số truy vấn của một số endpoint REST API.
Điều này có nghĩa là kẻ tấn công nếu được xác thực, có khả năng thao túng các truy vấn cơ sở dữ liệu để có được quyền truy cập trái phép vào dữ liệu tài chính nhạy cảm, sửa đổi các hồ sơ hiện có hoặc thậm chí kiểm soát toàn bộ hệ thống. Hậu quả có thể từ vi phạm dữ liệu và tổn thất tài chính đến gián đoạn hoàn toàn các dịch vụ.
Lỗ hổng CVE-2024-32838 ảnh hưởng đến Apache Fineract phiên bản 1.4 đến 1.9. Người dùng các phiên bản này được khuyến cáo cập nhật lên phiên bản 1.10.1.
Tuy nhiên, đây không chỉ là một bản vá đơn giản. Đội ngũ Fineract đã chủ động áp dụng các biện pháp để ngăn chặn các lỗ hổng tương tự trong tương lai. Họ đã triển khai một Bộ kiểm tra SQL (SQL Validator) mới cho phép cấu hình một loạt các bài kiểm tra và xác minh đối với các truy vấn SQL, giúp xác thực và chống lại hầu như tất cả các cuộc tấn công SQL injection tiềm ẩn.
Lỗ hổng này có mã CVE-2024-32838, được đánh giá điểm 9,4. Những người bị ảnh hưởng nhiều nhất là các nhóm dân cư chưa có tài khoản ngân hàng hoặc ít có cơ hội tiếp cận dịch vụ ngân hàng - đây chính là đối tượng mà Fineract hướng đến để hỗ trợ.
Cụ thể đây là một lỗi SQL Injection ảnh hưởng đến nhiều endpoint API, bao gồm cả các endpoint liên quan đến văn phòng và bảng điều khiển. Theo cảnh báo chính thức, các phiên bản Apache Fineract 1.9 và trước đó có một lỗ hổng cho phép kẻ tấn công đã xác thực chèn dữ liệu độc hại vào tham số truy vấn của một số endpoint REST API.
Điều này có nghĩa là kẻ tấn công nếu được xác thực, có khả năng thao túng các truy vấn cơ sở dữ liệu để có được quyền truy cập trái phép vào dữ liệu tài chính nhạy cảm, sửa đổi các hồ sơ hiện có hoặc thậm chí kiểm soát toàn bộ hệ thống. Hậu quả có thể từ vi phạm dữ liệu và tổn thất tài chính đến gián đoạn hoàn toàn các dịch vụ.
Lỗ hổng CVE-2024-32838 ảnh hưởng đến Apache Fineract phiên bản 1.4 đến 1.9. Người dùng các phiên bản này được khuyến cáo cập nhật lên phiên bản 1.10.1.
Tuy nhiên, đây không chỉ là một bản vá đơn giản. Đội ngũ Fineract đã chủ động áp dụng các biện pháp để ngăn chặn các lỗ hổng tương tự trong tương lai. Họ đã triển khai một Bộ kiểm tra SQL (SQL Validator) mới cho phép cấu hình một loạt các bài kiểm tra và xác minh đối với các truy vấn SQL, giúp xác thực và chống lại hầu như tất cả các cuộc tấn công SQL injection tiềm ẩn.
Theo Security Online