Phân Tích Lỗ Hổng HTTP/2 Nghiêm Trọng: CVE-2025-41414, CVE-2025-1948, CVE-2025-36504

Phân Tích Các Lỗ Hổng HTTP/2 Nghiêm Trọng: CVE-2025-41414, CVE-2025-1948, CVE-2025-36504

HTTP/2, giao thức thế hệ tiếp theo của HTTP, đã được áp dụng rộng rãi nhờ cải thiện hiệu suất so với HTTP/1.1. Tuy nhiên, một số lỗ hổng bảo mật nghiêm trọng trong triển khai HTTP/2 gần đây đã được công bố, với khả năng gây ra các cuộc tấn công từ chối dịch vụ (Denial of Service – DoS). Trong bài viết này, chúng ta sẽ phân tích chi tiết ba lỗ hổng CVE liên quan đến HTTP/2, bao gồm thông tin kỹ thuật, ảnh hưởng, khai thác và biện pháp khắc phục.

CVE-2025-41414: Lỗ Hổng DoS Trong BIG-IP HTTP/2

• CVE ID: CVE-2025-41414
• Mô Tả: Khi cấu hình hồ sơ HTTP/2 client và server trên một virtual server, các yêu cầu không xác định (undisclosed requests) có thể khiến Traffic Management Microkernel (TMM) bị chấm dứt bất thường.
• Sản Phẩm Bị Ảnh Hưởng: BIG-IP HTTP/2 với cấu hình httprouter profile.
• Loại Lỗ Hổng và Tác Động: Từ chối dịch vụ (DoS).
• Chi Tiết Khai Thác: Lỗ hổng có thể bị khai thác bằng cách gửi các yêu cầu không xác định, dẫn đến việc TMM bị chấm dứt hoạt động.
• Biện Pháp Khắc Phục: Đảm bảo hồ sơ HTTP/2 được cấu hình đúng và theo dõi các hoạt động bất thường. Áp dụng bản vá hoặc cập nhật theo khuyến nghị từ F5 Networks.
• Tham Khảo Bản Vá: Tài liệu hướng dẫn từ F5 Networks.
• Liên Kết Nguồn Chính Thống: NVD – CVE-2025-41414

CVE-2025-1948: Lỗ Hổng DoS Trong Eclipse Jetty

• CVE ID: CVE-2025-1948
• Mô Tả: Một client HTTP/2 có thể chỉ định giá trị rất lớn cho tham số cài đặt SETTINGS_MAX_HEADER_LIST_SIZE, dẫn đến tấn công từ chối dịch vụ.
• Sản Phẩm Bị Ảnh Hưởng: Eclipse Jetty phiên bản từ 12.0.0 đến 12.0.16.
• Loại Lỗ Hổng và Tác Động: Từ chối dịch vụ (DoS).
• Chi Tiết Khai Thác: Lỗ hổng có thể bị khai thác bằng cách thiết lập giá trị lớn bất thường cho tham số SETTINGS_MAX_HEADER_LIST_SIZE, khiến máy chủ tiêu tốn quá nhiều tài nguyên.
• Biện Pháp Khắc Phục: Cập nhật lên phiên bản Eclipse Jetty không bị ảnh hưởng bởi lỗ hổng này. Đảm bảo tham số SETTINGS_MAX_HEADER_LIST_SIZE được cấu hình hợp lý.
• Tham Khảo Bản Vá:
  • Red Hat Customer Portal
  • NVD – CVE-2025-1948

CVE-2025-36504: Tăng Tiêu Thụ Bộ Nhớ Trong BIG-IP HTTP/2

• CVE ID: CVE-2025-36504
• Mô Tả: Khi cấu hình hồ sơ HTTP/2 httprouter trên một virtual server, các phản hồi không xác định (undisclosed responses) có thể làm tăng sử dụng tài nguyên bộ nhớ.
• Sản Phẩm Bị Ảnh Hưởng: BIG-IP HTTP/2 với cấu hình httprouter profile.
• Loại Lỗ Hổng và Tác Động: Từ chối dịch vụ (DoS).
• Chi Tiết Khai Thác: Lỗ hổng có thể bị khai thác bằng cách gửi các phản hồi không xác định, khiến máy chủ tiêu tốn bộ nhớ quá mức.
• Biện Pháp Khắc Phục: Đảm bảo hồ sơ HTTP/2 được cấu hình đúng và theo dõi các hoạt động bất thường. Áp dụng bản vá hoặc cập nhật theo khuyến nghị từ F5 Networks.
• Tham Khảo Bản Vá: Tài liệu hướng dẫn từ F5 Networks.
• Liên Kết Nguồn Chính Thống: NVD – CVE-2025-36504

Thông Tin Chung Về Lỗ Hổng HTTP/2

Ngoài các lỗ hổng CVE cụ thể, dưới đây là một số thông tin总 quan về các vấn đề bảo mật liên quan đến HTTP/2:

• Kỹ Thuật Hoạt Động (Operational Techniques): Các lỗ hổng HTTP/2 thường liên quan đến việc khai thác các cài đặt hoặc tham số để tiêu tốn tài nguyên hoặc làm chấm dứt hoạt động của máy chủ. Ví dụ, thiết lập giá trị lớn cho tham số như SETTINGS_MAX_HEADER_LIST_SIZE hoặc gửi các yêu cầu không xác định.
• Hệ Thống Bị Ảnh Hưởng: Các lỗ hổng HTTP/2 thường ảnh hưởng đến máy chủ web và ứng dụng hỗ trợ giao thức HTTP/2, chẳng hạn như BIG-IP, Eclipse Jetty và Nginx.
• Tác Động Kỹ Thuật: Hậu quả của các lỗ hổng này bao gồm tấn công từ chối dịch vụ, làm máy chủ không phản hồi hoặc tiêu tốn tài nguyên hệ thống, dẫn đến gián đoạn dịch vụ.
• Bối Cảnh Nguy Cơ: Những lỗ hổng này có thể bị kẻ tấn công khai thác để làm gián đoạn dịch vụ, gây ra thời gian ngừng hoạt động đáng kể và tổn thất tài chính cho các tổ chức bị ảnh hưởng. Theo dõi thường xuyên và cập nhật hệ thống là rất quan trọng để giảm thiểu rủi ro.

Indicators of Compromise (IOCs)

Dưới đây là các dấu hiệu nhận biết (IOCs) liên quan đến việc khai thác lỗ hổng HTTP/2:

• Undisclosed Requests: Gửi các yêu cầu không xác định khiến máy chủ bị chấm dứt hoạt động.
• Large Parameter Values: Thiết lập giá trị rất lớn cho các tham số như SETTINGS_MAX_HEADER_LIST_SIZE.

Hướng Dẫn CLI Để Phát Hiện và Khắc Phục

Dưới đây là một số lệnh command-line hữu ích để phát hiện và giảm thiểu rủi ro từ các lỗ hổng HTTP/2:

• Theo Dõi Nhật Ký Máy Chủ (Server Logs):

  tail -f /var/log/httpd/access.log

  Lệnh này giúp theo dõi nhật ký máy chủ để phát hiện các hoạt động bất thường.

• Cấu Hình Hồ Sơ HTTP/2:

  tmsh modify /sys http/2 profile <profile_name> settings <setting_name> value <value>

  Sử dụng lệnh này để cấu hình hồ sơ HTTP/2 một cách hợp lý và giảm thiểu nguy cơ khai thác.

Kết Luận

Các lỗ hổng HTTP/2 như CVE-2025-41414, CVE-2025-1948 và CVE-2025-36504 đặt ra những thách thức đáng kể cho các tổ chức sử dụng giao thức này. Việc cập nhật bản vá, cấu hình hệ thống đúng cách và theo dõi liên tục là những biện pháp quan trọng để giảm thiểu nguy cơ từ chối dịch vụ. Các chuyên gia bảo mật và quản trị hệ thống cần ưu tiên xử lý các vấn đề này để bảo vệ cơ sở hạ tầng của mình.