Cảnh Báo Lỗ Hổng Bảo Mật CVE-2024-52308 trong GitHub CLI cho phép thực thi mã từ xa

Lỗ hổng bảo mật CVE-2024-52308 trong GitHub Command Line Interface (CLI) cho phép thực thi mã từ xa (Remote Code Execution - RCE) trên máy tính của người dùng khi kết nối tới một Codespace SSH server độc hại. Vấn đề này phát sinh từ cách GitHub CLI xử lý các tham số kết nối SSH khi thực hiện các lệnh như gh codespace ssh hoặc gh codespace logs.

Nguyên nhân kỹ thuật

Lỗi này xảy ra khi GitHub CLI không xác thực chặt chẽ thông tin username từ máy chủ SSH trong quá trình kết nối với Codespace. Trong các trường hợp xấu, một máy chủ SSH độc hại trong devcontainer (container phát triển) có thể chỉnh sửa các tham số SSH, ví dụ:

-oProxyCommand="echo hacked" #

Cụ thể:

  • Chèn tham số độc hại: Máy chủ SSH độc hại có thể chèn thêm lệnh qua tham số như -oProxyCommand, cho phép thực thi lệnh tùy ý trên máy tính người dùng.

  • Tính năng CLI bị khai thác: Các lệnh gh codespace ssh hoặc gh codespace logs đọc tham số này mà không kiểm tra tính hợp lệ, dẫn đến lệnh được thực thi trực tiếp trên hệ thống của người dùng.

  • Ảnh hưởng: Hệ thống của người dùng có thể bị chiếm quyền điều khiển, rò rỉ dữ liệu, hoặc bị kẻ tấn công lợi dụng để thực hiện các hoạt động độc hại.

Tác động

Nếu khai thác thành công, kẻ tấn công có thể:

  • Thực thi mã độc trực tiếp trên máy trạm của người dùng.
  • Chiếm quyền điều khiển hệ thống hoặc đánh cắp thông tin nhạy cảm.
  • Sử dụng máy trạm bị chiếm quyền để tiếp tục tấn công các mục tiêu khác.

Khuyến nghị

Cập nhật GitHub CLI:

Tải và cập nhật lên phiên bản GitHub CLI 2.62.0 hoặc mới hơn. Phiên bản này đã sửa lỗi bằng cách xác thực tham số remote username trước khi thực thi lệnh.

Sử dụng lệnh sau để cập nhật: gh upgrade

Hạn chế sử dụng devcontainer tùy chỉnh:

  • Tránh sử dụng các devcontainer từ nguồn không đáng tin cậy.
  • Ưu tiên sử dụng devcontainer mặc định hoặc được cung cấp từ các nguồn uy tín.

Thực hiện kiểm tra bảo mật khi thiết lập SSH:

  • Kiểm tra tính hợp lệ của các tham số kết nối SSH.
  • Đảm bảo rằng máy chủ Codespace và devcontainer được sử dụng đã được xác minh.

Giới hạn quyền truy cập SSH:

  • Chỉ kết nối tới các Codespace đáng tin cậy.
  • Hạn chế thực thi các lệnh liên quan đến Codespace từ các nguồn không xác định.

Nguồn: VNCERT/CC

Công ty CP Dịch vụ an toàn thông tin TP.HCM (HISSC) chuyên cung cấp các dịch vụ về an ninh mạng gồm:

  • Điện toán đám mây.

  • Mạng phân phối nội dung

  • Giám sát an toàn thông tin mạng.

  • Bảo vệ an toàn thông tin đầu cuối.

  • Sao lưu, phục hồi dữ liệu.

  • Diễn tập phòng chống tấn công mạng.

  • Kiểm tra, đánh giá an toàn thông tin mạng.

  • Đào tạo an toàn thông tin.

  • Dịch vụ khác:

    • Triển khai tích hợp giải pháp công nghệ an toàn thông tin theo yêu cầu.
    • Cho thuê thiết bị an toàn thông tin, công nghệ thông tin

Liên hệ dịch vụ: