Bộ đôi lỗ hổng trong IBM Cloud Pak System - Doanh nghiệp nào chưa vá thì có thể bị tấn công

[WhiteHat Team]

IBM vừa công bố hai lỗ hổng bảo mật nghiêm trọng ảnh hưởng trực tiếp đến hệ thống IBM Cloud Pak System, có khả năng bị khai thác để thực thi mã độc và tấn công XSS thông qua nội dung HTML được chèn trái phép. Các lỗ hổng này ảnh hưởng đến nhiều phiên bản phổ biến trên cả nền tảng Intel và Power.

(Ảnh: portfolio.godiva.reisen)​

1. CVE-2020-5258 - Prototype Pollution (Ô nhiễm nguyên mẫu trong JavaScript)​

• Nguồn gốc: Lỗ hổng bắt nguồn từ kỹ thuật prototype pollution trong phương thức deepCopy của thư viện Dojo, được sử dụng trong các gói NPM liên quan.
• Phương thức khai thác: Kẻ tấn công có thể chèn các thuộc tính tùy ý vào prototype object của JavaScript, gây ảnh hưởng đến luồng xử lý logic của ứng dụng. Điều này có thể bị lợi dụng để thực thi mã tùy ý trong ngữ cảnh ứng dụng bị ảnh hưởng.
• Mức độ nghiêm trọng: Điểm CVSS 7,5. Lỗ hổng có thể khai thác từ xa, không yêu cầu tương tác người dùng và không cần xác thực.

2. CVE-2025-2895 - HTML Injection/Cross-Site Scripting (XSS)​

• Nguồn gốc: Lỗ hổng phát sinh do không xử lý đúng đầu vào đầu vào đầu ra, được phân loại theo CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS).
• Phương thức khai thác: Kẻ tấn công có thể chèn mã HTML độc hại vào giao diện người dùng của ứng dụng. Khi nạn nhân truy cập vào thành phần giao diện chứa payload này, đoạn mã sẽ được thực thi trong trình duyệt dẫn đến tấn công Cross-Site Scripting (XSS). Mã độc được thực thi trong ngữ cảnh bảo mật của ứng dụng, có thể bị lợi dụng để đánh cắp phiên người dùng, tiêm lệnh hoặc chuyển hướng truy cập.
• Mức độ nghiêm trọng: Điểm CVSS 5,4. Lỗ hổng yêu cầu tương tác người dùng và quyền truy cập ở mức thấp nhưng vẫn có thể bị khai thác trong các tình huống thực tế nếu không được kiểm soát đúng.

Các phiên bản bị ảnh hưởng​

Nền tảng​	Phiên bản bị ảnh hưởng​
Intel​	2.3.3.6, 2.3.3.6 iFix1, 2.3.4.0, 2.3.4.1, 2.3.4.1 iFix1​
Power​	2.3.3.7, 2.3.3.7 iFix1, 2.3.5.0​

IBM khuyến cáo các tổ chức khẩn trương triển khai biện pháp khắc phục để ngăn chặn nguy cơ bị khai thác lỗ hổng:

• Người dùng nền tảng Intel cần nâng cấp ngay lên phiên bản 2.3.6.0, có sẵn trên IBM Fix Central hoặc Passport Advantage Online.
• Người dùng nền tảng Power phải liên hệ trực tiếp với IBM Support để được cung cấp bản vá tương ứng.

Lưu ý: Việc chậm trễ cập nhật có thể dẫn đến nguy cơ bị thực thi mã độc từ xa (RCE) hoặc tấn công XSS vào trình duyệt người dùng, đặc biệt nghiêm trọng trong các hệ thống đang được triển khai tại doanh nghiệp sản xuất, tài chính, y tế và các môi trường nhạy cảm khác.

Theo Cyber Press​