Cụ thể, lỗ hổng có mã định danh CVE-2024-43405 với điểm CVSS 7,4 ảnh hưởng đến tất cả các phiên bản của Nuclei từ 3.0.0 trở lên. Nuclei là một công cụ phổ biến, sử dụng các mẫu YAML để kiểm tra ứng dụng, hạ tầng, mạng và nền tảng đám mây nhằm phát hiện lỗ hổng bảo mật.
Lỗ hổng này bắt nguồn từ sự không nhất quán trong cách xử lý ký tự xuống dòng giữa quá trình xác minh chữ ký và trình phân tích YAML, đặc biệt khi xử lý nhiều chữ ký. Điều này tạo điều kiện cho kẻ tấn công chèn nội dung độc hại vào mẫu nhưng vẫn duy trì được chữ ký hợp lệ.
Lỗ hổng CVE-2024-43405 có thể bị khai thác để thực thi mã tùy ý, truy cập dữ liệu nhạy cảm từ hệ thống mục tiêu hoặc gây rò rỉ thông tin hoặc xâm phạm hệ thống.
Công ty công nghệ Wiz phát hiện ra lỗ hổng cảnh báo rằng quy trình xác minh chữ ký hiện tại của Nuclei là cách duy nhất được sử dụng để xác thực các mẫu. Điều này có nghĩa nếu quy trình này bị khai thác hoặc thất bại, toàn bộ hệ thống bảo mật dựa trên nó cũng sẽ bị phá vỡ, gây ra hậu quả nghiêm trọng cho toàn bộ hệ thống.
M.H
15:00 | 02/01/2025
08:00 | 21/02/2025
10:00 | 11/12/2024
22:00 | 25/01/2025
16:00 | 30/10/2024
09:00 | 07/03/2025
Cisco vừa chính thức ra mắt Cisco AI Defense - giải pháp bảo vệ và thúc đẩy quá trình chuyển đổi AI trong doanh nghiệp diễn ra một cách an toàn và hiệu quả.
08:00 | 19/02/2025
OpenAI đang hoàn thiện thiết kế cho con chip nội bộ đầu tiên của mình trong vài tháng tới và có kế hoạch gửi nó đi chế tạo tại Taiwan Semiconductor Manufacturing Co (TSMC) trên tiến trình 3 nm trong năm nay.
09:00 | 10/02/2025
Ngày 05/02, chính phủ Italy cho biết đã nhận được thông báo của WhatsApp về việc có 07 người dùng điện thoại di động trở thành mục tiêu của một phần mềm gián điệp qua dịch vụ tin nhắn này. Chính phủ Italy nhấn mạnh đây là sự cố đặc biệt nghiêm trọng.
09:00 | 02/02/2025
Trong quyết định công bố hôm đầu tháng một, tòa án liên bang tại San Francisco đã bác bỏ lập luận của Google. Theo đó, gã khổng lồ công nghệ này có nguy cơ đối mặt với vụ kiện về quyền riêng tư trên điện thoại.
22:00 | 30/01/2025|Giải pháp khác
08:00 | 29/01/2025|Công nghệ thông tin
Ngày 07/3/2025, Google đã công bố sẽ trao 11,8 triệu USD tiền thưởng cho 660 nhà nghiên cứu đã báo cáo lỗ hổng bảo mật thông qua các chương trình Bug Bounty của công ty vào năm 2024.
14:00 | 19/03/2025
