Hai lỗ hổng Apache NuttX mở đường cho tấn công từ xa vào thiết bị nhúng

[WhiteHat Team]

Apache Software Foundation vừa phát hành bản cập nhật bảo mật cho Apache NuttX, hệ điều hành thời gian thực được sử dụng rộng rãi trên các thiết bị nhúng, từ vi điều khiển 8 bit đến 64 bit. Đợt cập nhật lần này khắc phục hai lỗ hổng nằm trong cơ chế quản lý hệ thống tập tin, có thể bị khai thác để làm sập hệ thống hoặc gây lỗi bộ nhớ, đặc biệt nguy hiểm với các thiết bị phơi bày dịch vụ truy cập tệp qua mạng.
​

​

Lỗ hổng đáng chú ý nhất có mã CVE-2025-48769, được đánh giá ở mức độ trung bình. Đây là lỗi Use After Free, xảy ra trong hàm xử lý đổi tên tệp. Nguyên nhân là chương trình sử dụng chung một vùng bộ nhớ cho hai con trỏ khác nhau kết hợp với triển khai đệ quy. Trong một số luồng xử lý, vùng bộ nhớ này có thể bị cấp phát lại nhưng vẫn bị ghi dữ liệu, dẫn tới lỗi bộ nhớ trong vùng heap.

Trong thực tế, lỗi này có thể khiến thao tác đổi tên hoặc di chuyển tệp trong hệ thống tập tin ảo cho kết quả ngoài ý muốn. Trên các thiết bị nhúng, lỗi bộ nhớ heap có thể khiến hệ thống sập ngay lập tức hoặc rơi vào trạng thái kernel panic, buộc thiết bị phải khởi động lại thủ công. Các phiên bản Apache NuttX từ 7.20 đến trước 12.11.0 đều bị ảnh hưởng bởi lỗ hổng này.

Dù được xếp ở mức trung bình, CVE-2025-48769 vẫn tiềm ẩn rủi ro lớn trong môi trường thiết bị nhúng. Lỗi nằm sâu trong nhân hệ điều hành và có thể bị kích hoạt từ xa thông qua các dịch vụ truy cập tệp qua mạng. Với các thiết bị hoạt động liên tục, khó cập nhật và khó khôi phục khi xảy ra sự cố, nguy cơ gián đoạn vận hành là đặc biệt đáng lo ngại.

Bên cạnh đó, Apache cũng xử lý một lỗ hổng thứ hai có mức độ Low, được theo dõi với mã CVE-2025-48768. Lỗi này xuất phát từ sai sót logic trong hàm fs/inode/fs_inoderemove, cho phép xóa inode của hệ thống tập tin gốc, một thao tác vốn không được phép. Khi bị khai thác, lỗ hổng có thể dẫn tới lỗi tham chiếu con trỏ NULL hoặc gặp lỗi kiểm tra hệ thống, khiến hệ thống bị treo hoặc sập hoàn toàn. Các phiên bản Apache NuttX từ 10.0.0 đến trước 12.10.0 đều bị ảnh hưởng.
​

Dù cả hai lỗi đều nằm sâu trong nhân hệ điều hành, chúng vẫn có thể bị khai thác nếu thiết bị nhúng cung cấp dịch vụ truy cập tệp từ xa với quyền ghi, đặc biệt là khi dịch vụ mở ra Internet. Đây là kịch bản phổ biến ở nhiều thiết bị IoT và hệ thống công nghiệp, làm tăng đáng kể bề mặt tấn công.

Apache khuyến nghị các quản trị viên và nhà phát triển nhanh chóng nâng cấp để giảm rủi ro. Cụ thể, lỗ hổng CVE-2025-48769 được khắc phục từ phiên bản 12.11.0, còn lỗ hổng CVE-2025-48768 được vá từ phiên bản 12.10.0. Việc ưu tiên cập nhật đặc biệt quan trọng với các thiết bị nhúng có dịch vụ truy cập tệp từ xa, nhằm tránh nguy cơ bị tấn công làm gián đoạn hoặc mất kiểm soát hệ thống.

Tổng hợp​