Microsoft phát hành bản vá khẩn cấp .NET cho lỗ hổng Brotli của Google

Microsoft vừa phát hành bản cập nhật bảo mật ngoài chu kỳ (out-of-band) cho .NET, nhằm khắc phục một lỗ hổng nghiêm trọng trong công nghệ nén Brotli của Google. Hãng khuyến cáo người dùng .NET nên cập nhật "càng sớm càng tốt" bởi lỗ hổng này có thể cho phép kẻ tấn công đọc hoặc làm hỏng bộ nhớ tiến trình.

Lỗ hổng nghiêm trọng trong Brotli

Theo ông Rahul Bhandari, quản lý chương trình cấp cao của Microsoft, lỗ hổng tràn bộ đệm (buffer overflow) trong Brotli được theo dõi với mã CVE-2026-111497 và được đánh giá mức 8.1 theo thang điểm CVSS v3.1. Kẻ tấn công chưa được xác thực có thể lợi dụng lỗ hổng để đọc hoặc làm hỏng bộ nhớ tiến trình, dẫn đến nguy cơ rò rỉ thông tin, tấn công từ chối dịch vụ (DoS) hoặc leo thang đặc quyền.

Microsoft đã phát hành phiên bản mới cho .NET 8, 9, 10 và .NET 11 để vá lỗ hổng này. Động thái này diễn ra sau các bản cập nhật tương tự từ Node.js, Python và nhiều dự án mã nguồn mở khác.

Đáng chú ý, mặc dù giới nghiên cứu đã xây dựng được mã khai thác hoạt động, hiện chưa có bằng chứng cho thấy tội phạm mạng đã sử dụng thành công lỗ hổng này trong các cuộc tấn công thực tế. Tuy vậy, đánh giá mức độ khai thác của Microsoft vẫn ghi rõ: "Khả năng khai thác cao hơn bình thường".

Chuỗi sự kiện đáng chú ý

Lỗ hổng lần đầu được công bố vào ngày 21/10 bởi nhóm Node.js, cùng với bản vá cho mười lỗ hổng khác. Nhóm này ghi nhận công lao phát hiện thuộc về Khai Tran và Sylvie Mayer từ bộ phận Codex Security của OpenAI.

Tuy nhiên, một chi tiết gây tranh cãi là lỗi gốc đã được sửa trong mã nguồn Brotli từ tháng 2, nhưng phải đến tháng 10 mới được nhận diện là lỗ hổng bảo mật và công bố đúng cách. OpenAI sau đó đã giải thích trên mạng xã hội X rằng vào thời điểm sửa lỗi, chưa ai nhận ra vấn đề này có thể dẫn đến lỗ hổng bảo mật, và cũng không có phiên bản Brotli mới nào được phát hành sau đó.

"Vì Brotli được tích hợp sẵn trong nhiều phần mềm khác, bất kỳ phần mềm nào chứa thư viện này đều cần cập nhật theo, và sau đó là người dùng của chính phần mềm đó", OpenAI cho biết.

Kẻ tấn công có thể khai thác các hệ thống dễ bị tổn thương bằng cách gửi dữ liệu nén Brotli độc hại thông qua một yêu cầu được thiết kế đặc biệt.

Phạm vi ảnh hưởng rộng khắp

Lỗ hổng này có phần bị lu mờ do thời điểm công bố trùng với một lỗ hổng khác có tên PHP2Shell. Tuy nhiên, việc vá lỗi này cần được ưu tiên hàng đầu vì phạm vi công nghệ bị ảnh hưởng rất rộng.

Ngoài .NET, Node.js và Python, các dự án Bun, Envoy và Istio cũng đã phát hành bản vá. Đặc biệt, JFrog đã xây dựng được mã khai thác ảnh hưởng đến FFmpeg thông qua một hình ảnh JPEG XL được thiết kế đặc biệt, mở rộng con đường tấn công ra ngoài phạm vi giao thức HTTP. FFmpeg tiếp cận Brotli thông qua libjxl, thư viện dùng để giải nén siêu dữ liệu lưu trong các khối brob bên trong định dạng ảnh.

Cùng nhóm nghiên cứu cũng cho biết lỗ hổng ảnh hưởng đến cả Apache Arrow, với khả năng khiến kẻ tấn công gây ra tấn công từ chối dịch vụ.

Rủi ro lớn với môi trường cloud

Bà Merav Bar, chuyên gia nghiên cứu mối đe dọa tại Wiz, nhấn mạnh rằng người dùng cloud đang đối mặt với rủi ro lớn. Theo bà, 91% môi trường cloud phụ thuộc vào các thành phần dễ bị tổn thương bởi lỗ hổng Brotli, và 82% môi trường cloud có các phiên bản Node.js bị phơi bày công khai.

"Môi trường cloud đặc biệt dễ tổn thương do việc sử dụng rộng rãi các thành phần có tích hợp Brotli trong ứng dụng container, cụm Kubernetes, API gateway, reverse proxy, workload serverless và các dịch vụ web lưu trữ trên cloud", bà Bar cho biết.

Bà cũng cảnh báo rằng việc khai thác thành công có thể cho phép kẻ tấn công xâm nhập vào workload ứng dụng, truy cập thông tin nhạy cảm, làm gián đoạn tính sẵn sàng của dịch vụ hoặc thực thi mã độc trong các container hoặc môi trường runtime bị ảnh hưởng.

Khuyến nghị cho người dùng và doanh nghiệp

Trong một khuyến cáo được công bố thông qua sáng kiến Patch the Planet, OpenAI đề xuất chặn dữ liệu nén Brotli không đáng tin cậy ở những nơi có thể cho đến khi các bản vá được áp dụng. Tổ chức này cũng khuyến nghị các nhà phát triển xây dựng lại các triển khai bị ảnh hưởng và khởi động lại dịch vụ để đảm bảo các bản sửa lỗi có hiệu lực.

Đối với các doanh nghiệp và lập trình viên tại Việt Nam đang vận hành hệ thống trên nền .NET, Node.js hoặc các nền tảng cloud, việc kiểm tra và cập nhật ngay lập tức các thành phần liên quan đến Brotli là bước cần thiết để bảo vệ hệ thống trước nguy cơ bị khai thác.