CISA cảnh báo lỗ hổng RCE nghiêm trọng trong Apache Struts (CVE-2016-3081)

• Cảnh báo khẩn cấp: CISA đã đưa lỗ hổng CVE-2016-3081 vào danh mục các lỗ hổng bị khai thác thực tế (KEV), yêu cầu các cơ quan liên bang phải xử lý trước ngày 11/10/2026.
• Cơ chế tấn công: Lỗ hổng cho phép kẻ tấn công thực thi mã từ xa (RCE) thông qua tính năng Dynamic Method Invocation (DMI) trên các ứng dụng Apache Struts.
• Hành động cần thiết: Các tổ chức cần rà soát phiên bản Struts, vô hiệu hóa DMI nếu chưa thể cập nhật bản vá, và thực hiện phân tích pháp y (forensic triage) để phát hiện dấu hiệu xâm nhập.

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa đưa ra cảnh báo quan trọng về một lỗ hổng bảo mật lâu đời trong framework Apache Struts, được định danh là CVE-2016-3081. Lỗ hổng này đã được thêm vào danh mục các lỗ hổng bị khai thác thực tế (Known Exploited Vulnerabilities - KEV) sau khi các nhà nghiên cứu xác nhận rằng tin tặc đang tích cực sử dụng nó trong các chiến dịch tấn công nhắm vào các máy chủ web không được bảo vệ.

Phân tích kỹ thuật về lỗ hổng CVE-2016-3081

Lỗ hổng CVE-2016-3081 là một lỗi tiêm lệnh (command injection) nghiêm trọng trong Apache Struts, một framework Java phổ biến được sử dụng rộng rãi để xây dựng các ứng dụng web doanh nghiệp. Lỗi này được phân loại theo chuẩn CWE-77, xảy ra khi ứng dụng không kiểm soát chặt chẽ dữ liệu đầu vào không tin cậy trước khi truyền đến trình thông dịch lệnh của hệ điều hành.

Nguyên nhân gốc rễ của vấn đề nằm ở tính năng Dynamic Method Invocation (DMI). Khi tính năng này được kích hoạt, kẻ tấn công có thể gửi các yêu cầu HTTP được chế tạo đặc biệt, lợi dụng tiền tố phương thức (method prefix) để kích hoạt việc thực thi mã tùy ý trên máy chủ mục tiêu. Điều này dẫn đến khả năng chiếm quyền điều khiển hệ thống, đánh cắp dữ liệu nhạy cảm, triển khai mã độc hoặc sử dụng máy chủ làm bàn đạp để tấn công sâu hơn vào mạng nội bộ.

Phạm vi ảnh hưởng và yêu cầu xử lý

Theo tài liệu kỹ thuật từ Apache, các phiên bản Struts 2 bị ảnh hưởng bao gồm: 2.3.19 đến 2.3.20.2, 2.3.21 đến 2.3.24.1, và 2.3.25 đến 2.3.28. Mặc dù lỗ hổng này đã được công bố từ năm 2016, việc nó vẫn bị khai thác cho thấy các ứng dụng cũ, không được bảo trì hoặc thiếu quy trình quản lý tài sản (asset inventory) vẫn là mục tiêu hấp dẫn đối với các tác nhân đe dọa.

⚠️ Cảnh báo quan trọng: CISA yêu cầu các tổ chức thực hiện phân tích pháp y (forensic triage) thay vì chỉ đơn thuần áp dụng bản vá. Điều này có nghĩa là hệ thống có thể đã bị xâm nhập trước đó, và việc vá lỗi không thể loại bỏ hoàn toàn các backdoor hoặc công cụ tấn công đã được cài đặt sẵn.

Hướng dẫn phòng thủ và săn tìm mối đe dọa

Để bảo vệ hệ thống, các đội ngũ an ninh mạng cần thực hiện các bước sau đây một cách nghiêm túc:

• Xác định tài sản: Rà soát toàn bộ hạ tầng để tìm kiếm các ứng dụng đang chạy Apache Struts và xác định phiên bản cụ thể.
• Vô hiệu hóa DMI: Nếu chưa thể nâng cấp ngay lập tức, hãy vô hiệu hóa tính năng Dynamic Method Invocation trong tệp cấu hình struts.xml.
• Kiểm soát truy cập: Hạn chế quyền truy cập công khai vào các ứng dụng web bị ảnh hưởng bằng cách đặt chúng sau tường lửa ứng dụng web (WAF) hoặc VPN.
• Săn tìm dấu hiệu xâm nhập: Kiểm tra nhật ký (logs) của máy chủ web để tìm các yêu cầu bất thường chứa chuỗi method:, các tiến trình con lạ từ dịch vụ Java, hoặc các tác vụ lập lịch (scheduled tasks) mới được tạo.

Các chuyên gia khuyến nghị các đội ngũ phản ứng sự cố (Incident Response) cần lưu trữ các tệp nhật ký quan trọng trước khi thực hiện bất kỳ thay đổi cấu hình nào. Việc lưu giữ bằng chứng là yếu tố then chốt để xác định phạm vi ảnh hưởng và các hành động tiếp theo của kẻ tấn công. Bạn có thể tham khảo thêm thông tin chi tiết tại CISA Known Exploited Vulnerabilities Catalog để cập nhật các mối đe dọa mới nhất.