Ngày 30/3/2022 vừa qua, mã khai thác của một lỗ hổng bảo mật (có tên gọi Spring4Shell) đã được công khai trên Internet trong khi lỗ hổng này còn chưa có mã lỗi quốc tế (CVE) đồng thời chưa có bản vá. Lỗ hổng này tồn tại trong Spring Core, một thành phần lõi trong bộ mã nguồn mở Spring Framework được sử dụng phổ biến trong các ứng dụng hiện nay, ảnh hưởng đến ứng dụng sử dụng Spring Core với phiên bản JDK >=9.0, cho phép đối tượng tấn công thực thi mã từ xa và kiểm soát hệ thống.
Theo một số khảo sát đã công bố, có tới hơn 30% sản phẩm được viết bằng Java có sử dụng Spring Core, ngoài ra đến nay vẫn chưa có thông tin về bản vá chính thức từ nhà phát triển để khắc phục lỗ hổng nên mức độ ảnh hưởng của lỗ hổng này được đánh giá rất Nghiêm trọng. Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) ghi nhận mã khai thác đã được công bố trên Internet và dự báo lỗ hổng này sẽ được các nhóm tấn công có chủ đích (APT) tận dụng để thực hiện các cuộc tấn công nguy hiểm trên diện rộng ngay lập tức.
Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) cũng phát hiện dấu hiệu dò quét và khai thác thử vào một số hệ thống công nghệ thông tin của các cơ quan, tổ chức tại Việt Nam thông qua lỗ hổng này. Do vậy, nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý đơn vị, góp phần bảo đảm bảo an toàn cho không gian mạng Việt Nam, Cục An toàn thông tin khuyến nghị Quý đơn vị thực hiện:
Kiểm tra, rà soát và xác minh hệ thống thông tin có sử dụng Spring core. Trong trường hợp bị ảnh hưởng, Quý đơn vị cần thực hiện các biện pháp khắc phục thay thế trong thời gian chờ bản vá được phát hành; đồng thời nâng cấp các ứng dụng và thành phần liên quan có khả năng bị ảnh hưởng.Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng; đồng thời thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.
Trong trường hợp cần hỗ trợ, Quý đơn vị liên hệ đầu mối hỗ trợ của Cục An toàn thông tin: Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), điện thoại: 02432091616, thư điện tử: ncsc@ais.gov.vn.
(Chi tiết thông tin lỗ hổng và cách khắc phục)