Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng (CISA) đã ban hành cảnh báo khẩn cấp về việc khai thác tích cực một lỗ hổng quan trọng trong Ruby on Rails, được định danh là CVE-2019-5418. Lỗ hổng này liên quan đến vấn đề duyệt thư mục (path traversal).
CISA đã bổ sung lỗ hổng bảo mật đã tồn tại năm năm này vào danh mục Known Exploited Vulnerabilities (KEV) của mình vào ngày 7 tháng 7 năm 2025, báo hiệu rằng các tác nhân đe dọa đang tích cực lợi dụng lỗ hổng này trong các cuộc tấn công thực tế.
Mô tả Kỹ thuật của Lỗ hổng CVE-2019-5418
Thành phần Bị Ảnh hưởng: Action View của Ruby on Rails
Lỗ hổng CVE-2019-5418 ảnh hưởng đến thành phần Action View của Ruby on Rails. Action View là một phần cốt lõi của framework Ruby on Rails, chịu trách nhiệm xử lý logic trình bày và hiển thị giao diện người dùng (views) của ứng dụng web. Nó giúp chuyển đổi dữ liệu từ mô hình (model) thành các trang HTML, XML, hoặc các định dạng khác mà người dùng có thể tương tác.
Cụ thể, lỗ hổng xuất hiện trong quá trình xử lý các yêu cầu HTTP đặc biệt, nơi Action View có thể bị lừa để truy cập các tệp nằm ngoài phạm vi được cho phép.
Cơ chế Khai thác: Path Traversal qua HTTP Accept Headers
Lỗ hổng này là một dạng duyệt thư mục (path traversal), được phân loại dưới CWE-22. Điều này có nghĩa là kẻ tấn công có thể thao túng các đường dẫn để truy cập các tệp hoặc thư mục nằm ngoài thư mục gốc của ứng dụng.
Kẻ tấn công có thể khai thác lỗ hổng bằng cách sử dụng các tiêu đề HTTP Accept được tạo đặc biệt, kết hợp với các lệnh gọi đến hàm render file:. Thông thường, hàm render file: được sử dụng để hiển thị các tệp tĩnh trong ứng dụng, nhưng khi kết hợp với tiêu đề Accept bị lỗi, nó có thể cho phép kẻ tấn công đọc các tệp tùy ý trên máy chủ mục tiêu.
Các nhà nghiên cứu bảo mật đã chỉ ra rằng các tác nhân độc hại có thể thao túng tiêu đề Accept (ví dụ: Accept: ../../../etc/passwd hoặc Accept: ../../../config/database.yml) để vượt qua cấu trúc thư mục và truy cập các tệp bên ngoài phạm vi ứng dụng dự kiến. Điều này làm lộ các tệp hệ thống nhạy cảm mà lẽ ra phải được bảo vệ khỏi quyền truy cập bên ngoài.
Nguy cơ và Tác động Tiềm tàng
Mức độ nghiêm trọng của lỗ hổng này bắt nguồn từ khả năng tiết lộ các thông tin nhạy cảm được lưu trữ trên các máy chủ bị ảnh hưởng. Điều này bao gồm:
- Tệp cấu hình (Configuration files): Chứa các cài đặt quan trọng của hệ thống và ứng dụng, thường bao gồm các đường dẫn, cài đặt môi trường, và các thông tin bí mật khác.
- Thông tin xác thực cơ sở dữ liệu (Database credentials): Tên người dùng và mật khẩu để kết nối tới cơ sở dữ liệu, cho phép kẻ tấn công truy cập và thao túng dữ liệu.
- Mã nguồn (Source code): Việc tiếp cận mã nguồn có thể giúp kẻ tấn công phân tích thêm các lỗ hổng khác, hiểu rõ logic kinh doanh của ứng dụng, hoặc thậm chí chèn mã độc vào ứng dụng.
- Các thông tin nhạy cảm khác: Bất kỳ tệp nào trên hệ thống mà người dùng chạy ứng dụng Ruby on Rails có quyền đọc đều có thể bị truy cập.
Việc rò rỉ các thông tin này có thể dẫn đến nhiều hậu quả nghiêm trọng, bao gồm:
- Vi phạm dữ liệu (Data breaches): Kẻ tấn công có thể trích xuất dữ liệu nhạy cảm của người dùng hoặc doanh nghiệp.
- Kiểm soát hệ thống (System compromise): Với quyền truy cập vào thông tin xác thực hoặc cấu hình, kẻ tấn công có thể leo thang đặc quyền và chiếm quyền kiểm soát toàn bộ hệ thống.
- Di chuyển ngang (Lateral movement): Kẻ tấn công có thể sử dụng thông tin thu thập được để di chuyển trong mạng nội bộ, tìm kiếm các hệ thống khác để khai thác.
Tuổi đời của lỗ hổng này (năm năm tuổi) cho thấy nhiều tổ chức có thể đã bỏ qua các nỗ lực vá lỗi, khiến hệ thống của họ đặc biệt dễ bị khai thác.
Tình trạng Khai thác và Danh mục KEV của CISA
Việc CVE-2019-5418 được thêm vào danh mục KEV của CISA vào ngày 7 tháng 7 năm 2025 là một tín hiệu rõ ràng rằng các tội phạm mạng đang tích cực khai thác lỗ hổng này “trong tự nhiên” (in the wild). Danh mục KEV của CISA là một danh sách các lỗ hổng đã được xác nhận là đang bị khai thác tích cực bởi các tác nhân đe dọa, và việc một lỗ hổng được thêm vào danh mục này yêu cầu các tổ chức chính phủ Hoa Kỳ phải khắc phục trong một khung thời gian cụ thể.
Mặc dù CISA chưa xác định liệu lỗ hổng này có đang được sử dụng trong các chiến dịch ransomware hay không, bản chất duyệt thư mục của lỗ hổng khiến nó đặc biệt hấp dẫn đối với các tác nhân đe dọa đang tìm cách:
- Giành quyền truy cập ban đầu (Initial access): Một điểm xâm nhập ban đầu vào hệ thống mục tiêu.
- Leo thang đặc quyền (Escalate privileges): Sau khi có được quyền truy cập, sử dụng lỗ hổng để có được quyền cao hơn trong mạng đã bị xâm nhập.
Các tổ chức đang chạy các ứng dụng Ruby on Rails dễ bị tổn thương đối mặt với rủi ro đáng kể. Đối với các cơ quan liên bang, họ có thời hạn đến ngày 28 tháng 7 năm 2025 để khắc phục lỗ hổng này theo Chỉ thị Hoạt động Bắt buộc (Binding Operational Directive – BOD) 22-01. BOD 22-01 yêu cầu các cơ quan dân sự liên bang phải vá các lỗ hổng đã biết đang bị khai thác trong vòng một thời gian nhất định, nhấn mạnh tính cấp bách của vấn đề.
Các Biện pháp Khắc phục và Giảm thiểu
CISA đã vạch ra ba hướng hành động chính cho các tổ chức bị ảnh hưởng:
- Áp dụng các biện pháp giảm thiểu do nhà cung cấp cung cấp: Đây là phương án ưu tiên hàng đầu, bao gồm việc cập nhật Ruby on Rails lên các phiên bản đã vá lỗi. Các phiên bản Ruby on Rails đã khắc phục lỗ hổng CVE-2019-5418 bao gồm Rails 5.2.2.1, 5.1.6.2, 5.0.7.2, và 4.2.11.2 hoặc các phiên bản mới hơn. Việc áp dụng các bản vá này là cách hiệu quả nhất để loại bỏ lỗ hổng.
- Tuân thủ hướng dẫn BOD 22-01 hiện hành cho các dịch vụ đám mây: Đối với các ứng dụng Ruby on Rails được triển khai trên các nền tảng đám mây, các tổ chức cần đảm bảo rằng cấu hình và quản lý dịch vụ tuân thủ các yêu cầu bảo mật của BOD 22-01, có thể liên quan đến việc cấu hình đúng quyền truy cập, phân đoạn mạng và giám sát.
- Ngừng sử dụng sản phẩm nếu không có biện pháp giảm thiểu: Trong trường hợp không thể áp dụng các bản vá hoặc biện pháp giảm thiểu hiệu quả, tổ chức nên xem xét việc ngừng sử dụng ứng dụng hoặc sản phẩm bị ảnh hưởng để loại bỏ rủi ro. Đây là biện pháp cuối cùng khi không có lựa chọn nào khác an toàn.
Cơ quan này nhấn mạnh tầm quan trọng của hành động tức thời, do tình trạng lỗ hổng đang bị khai thác tích cực. Các tổ chức nên ưu tiên các nỗ lực vá lỗi và tiến hành các đánh giá bảo mật kỹ lưỡng để xác định các hệ thống có khả năng bị xâm nhập. Điều này bao gồm:
- Rà soát và cập nhật kho tài sản: Xác định tất cả các ứng dụng đang chạy Ruby on Rails và phiên bản của chúng.
- Thực hiện quét lỗ hổng: Sử dụng các công cụ quét lỗ hổng để phát hiện các phiên bản Ruby on Rails dễ bị tổn thương trong môi trường của mình.
- Kiểm tra nhật ký (Logs): Phân tích nhật ký máy chủ và ứng dụng để tìm kiếm các dấu hiệu bất thường có thể chỉ ra việc khai thác, chẳng hạn như các yêu cầu HTTP với tiêu đề
Acceptđáng ngờ hoặc các lỗi truy cập tệp bất thường. - Thực hiện kiểm tra thâm nhập (Penetration testing): Mô phỏng cuộc tấn công để kiểm tra khả năng phòng thủ của hệ thống.
Việc khai thác tích cực CVE-2019-5418 là một lời nhắc nhở rõ ràng rằng các lỗ hổng cũ vẫn là mục tiêu hấp dẫn đối với tội phạm mạng. Điều này đặc biệt đúng với các lỗ hổng đã được công bố rộng rãi nhưng nhiều hệ thống vẫn chưa được vá lỗi do quản lý bản vá kém hoặc bỏ quên các tài sản cũ.
Các tổ chức phải duy trì các phương pháp quản lý bản vá mạnh mẽ và thường xuyên kiểm tra hệ thống của họ để tìm các lỗ hổng đã biết. Với thời hạn ngày 28 tháng 7 đang đến gần, hành động tức thì là điều cần thiết để bảo vệ chống lại các cuộc tấn công đang diễn ra lợi dụng lỗ hổng quan trọng này của Ruby on Rails.
