Nhóm tin tặc khai thác lỗ hổng trong thư viện Aiohttp để tấn công mạng

[WhiteHat Team]

Nhóm ransomware 'ShadowSyndicate' bị phát hiện đang quét các máy chủ tồn tại lỗ hổng directory traversal (hoặc path traversal) là CVE-2024-23334, điểm CVSS 7,5 trong thư viện Aiohttp của Python.

​

Aiohttp là một thư viện mã nguồn mở được xây dựng trên cơ sở của framework I/O không đồng bộ Asyncio trong Python, nhằm xử lý một lượng lớn các yêu cầu HTTP cùng lúc mà không cần sử dụng luồng (thread) trong mạng máy tính theo cách truyền thống.

Có dấu hiệu cho thấy việc khai thác lỗ hổng CVE-2024-23334 kể từ ngày 29 tháng 2 và gia tăng tần suất đến đầu tháng 3 bắt nguồn từ 5 địa chỉ IP, một trong số này có liên quan đến nhóm ransomware ShadowSyndicate. Lỗ hổng này cho phép kẻ tấn công từ xa chưa xác thực truy cập vào các tệp trên máy chủ mục tiêu.

Ngày 27 tháng 2 năm 2024, mã khai thác (PoC) cho lỗ hổng CVE-2024-23334 đã được phát hành trên GitHub. Ngoài ra, một video hướng dẫn khai thác chi tiết đã được xuất bản trên YouTube vào đầu tháng 3 năm nay.

Thống kê của các nhà nghiên cứu Cyble cho thấy khoảng hơn 44.000 máy chủ sử dụng thư viện Aiohttp đang tiếp xúc với Internet, hầu hết được đặt tại Hoa Kỳ, Đức, Tây Ban Nha, Anh, Ý, Pháp, Nga và Trung Quốc.

Các nhà nghiên cứu còn cho biết dường như kẻ tấn công đang nhắm mục tiêu vào các máy chủ có sử dụng phiên bản dễ bị tấn công của thư viện Aiohttp. Tuy nhiên, không thể xác định được phiên bản này, làm cho việc thống kê số lượng máy chủ Aiohttp đang tồn tại lỗ hổng trở nên khó khăn hơn.

Ngày 28 tháng 1 năm 2024, Aiohttp đã phát hành phiên bản 3.9.2 để giải quyết lỗ hổng CVE-2024-23334.

Theo Bleeping Computer​