Lỗ hổng bảo mật CVE-2025-46701 trong Apache Tomcat CGI Servlet: Thông tin và biện pháp khắc phục
Một lỗ hổng bảo mật mới được công bố trong Apache Tomcat liên quan đến thành phần CGI Servlet, với mã định danh CVE-2025-46701. Lỗ hổng này cho phép kẻ tấn công bypass các giới hạn bảo mật được cấu hình trong CGI Servlet, tạo ra rủi ro cho các hệ thống sử dụng ứng dụng dựa trên CGI. Bài viết này cung cấp thông tin chi tiết về lỗ hổng, các phiên bản bị ảnh hưởng, mức độ nghiêm trọng và các biện pháp khắc phục.
1. Tổng quan về lỗ hổng
Lỗ hổng CVE-2025-46701 xuất phát từ việc xử lý không đúng về độ nhạy chữ hoa/thường (case sensitivity) trong thành phần pathInfo của các URL ánh xạ tới CGI Servlet trong Apache Tomcat. Điều này cho phép kẻ tấn công bỏ qua các kiểm soát bảo mật được thiết lập, đặc biệt trong các môi trường sử dụng CGI với cấu hình truy cập nghiêm ngặt.
2. Các phiên bản bị ảnh hưởng
Lỗ hổng ảnh hưởng đến nhiều phiên bản của Apache Tomcat trên ba nhánh phát hành chính:
- Apache Tomcat 11.0.0-M1 đến 11.0.6
- Apache Tomcat 10.1.0-M1 đến 10.1.40
- Apache Tomcat 9.0.0-M1 đến 9.0.104
3. Mức độ nghiêm trọng và ảnh hưởng
Dù được phân loại là lỗ hổng có mức độ nghiêm trọng thấp, CVE-2025-46701 vẫn là một mối quan ngại đáng kể đối với các tổ chức sử dụng ứng dụng CGI với các kiểm soát truy cập chặt chẽ. Lỗ hổng đặc biệt gây ảnh hưởng trong các môi trường kích hoạt hỗ trợ CGI, lưu ý rằng tính năng này bị vô hiệu hóa theo mặc định trong các cài đặt Tomcat thông thường.
4. Biện pháp khắc phục
Để giải quyết lỗ hổng này, người dùng được khuyến nghị nâng cấp lên các phiên bản mới nhất của Apache Tomcat, bao gồm các bản vá bảo mật:
- Đối với Tomcat 11: Nâng cấp lên phiên bản 11.0.7
- Đối với Tomcat 10: Nâng cấp lên phiên bản 10.1.41
- Đối với Tomcat 9: Nâng cấp lên phiên bản 9.0.105
Việc nâng cấp nên được thực hiện sớm nhất có thể để ngăn chặn các rủi ro tiềm tàng từ lỗ hổng này. Ngoài ra, nếu không cần thiết, hãy đảm bảo rằng hỗ trợ CGI được vô hiệu hóa trong cấu hình Tomcat của bạn để giảm thiểu bề mặt tấn công.
5. Kết luận
Lỗ hổng CVE-2025-46701 trong Apache Tomcat CGI Servlet là một vấn đề cần được lưu ý, đặc biệt đối với các hệ thống sử dụng CGI. Việc theo dõi các bản cập nhật bảo mật và áp dụng các bản vá kịp thời là điều quan trọng để bảo vệ hệ thống khỏi các mối đe dọa tiềm ẩn. Quản trị viên hệ thống nên kiểm tra cấu hình hiện tại và thực hiện các bước khắc phục theo khuyến nghị.
