OpenSSL vá lỗ hổng rò rỉ dữ liệu và nhiều lỗi bảo mật khác

OpenSSL, thư viện mã hóa nguồn mở quan trọng được sử dụng rộng rãi trên internet, vừa tung ra các bản cập nhật bảo mật mới nhằm giải quyết tổng cộng 7 lỗ hổng. Trong đó, lỗ hổng đáng chú ý nhất có thể cho phép kẻ tấn công lấy cắp dữ liệu nhạy cảm từ hệ thống.

Lỗi rò rỉ dữ liệu này được theo dõi dưới mã định danh CVE-2026-31790 và được đánh giá ở mức độ "trung bình" (moderate severity). Vấn đề này ảnh hưởng đến các ứng dụng sử dụng cơ chế đóng gói khóa RSASVE để thiết lập khóa mã hóa bí mật.

Nguyên nhân của lỗ hổng nằm ở việc đôi khi OpenSSL không xác minh chính xác việc mã hóa có thực sự thành công hay không, nhưng vẫn trả về thông báo "thành công". Hậu quả là dữ liệu từ một bộ nhớ đệm chưa được khởi tạo có thể bị lộ ra ngoài.

"Bộ đệm chưa được khởi tạo có thể chứa dữ liệu nhạy cảm từ quá trình thực thi ứng dụng trước đó, dẫn đến việc rò rỉ dữ liệu nhạy cảm cho kẻ tấn công," các nhà phát triển OpenSSL giải thích trong bản tư vấn bảo mật.

OpenSSL communications traffic

Lỗ hổng này ảnh hưởng đến các phiên bản OpenSSL 3.0, 3.3, 3.4, 3.5 và 3.6. Tuy nhiên, các phiên bản cũ hơn như 1.0.2 và 1.1.1 không bị ảnh hưởng bởi vấn đề này.

Các lỗ hổng còn lại trong đợt cập nhật này đều được xếp loại mức độ nghiêm trọng thấp. Đa số trong số chúng có thể bị khai thác để làm sập ứng dụng và gây ra tình trạng từ chối dịch vụ (DoS).

Mặc dù vậy, hai trong số các lỗi này về mặt lý thuyết có thể dẫn đến việc thực thi mã tùy ý (arbitrary code execution). Tuy nhiên, một lỗi chỉ ảnh hưởng đến một cấu hình ít gặp của OpenSSL, và lỗi kia yêu cầu kẻ tấn công gửi một chứng chỉ X.509 đặc biệt có kích thước lên tới 1GB.

Đáng chú ý, các bản cập nhật mà OpenSSL phát hành vào tháng 1 vừa qua đã giải quyết một chục lỗ hổng, bao gồm một lỗi nghiêm trọng có thể bị khai thác để thực thi mã từ xa. Các chuyên gia nhận định rằng các lỗ hổng mức độ nghiêm trọng cao (high-severity) trong OpenSSL hiện nay đang trở nên hiếm gặp, với chỉ một lỗi được phát hiện trong suốt năm 2025.