Lỗ hổng chỉ với 1 yêu cầu có thể qua mặt kiểm soát, chiếm quyền máy chủ

[WhiteHat Team]

Một lỗ hổng nghiêm trọng mang mã CVE-2026-34040 (CVSS 8,8) vừa được phát hiện trong Docker Engine, cho phép kẻ tấn công vượt qua lớp kiểm soát truy cập và tiến tới chiếm quyền hệ thống máy chủ nếu khai thác thành công.
​

​

Đây không phải là một lỗi mới mà là hệ quả của việc vá chưa triệt để từ lỗ hổng trước đó là CVE-2024-41110, khiến một “khe hở” nguy hiểm tiếp tục bị bỏ sót.

Về bản chất, Docker đóng vai trò như “người gác cổng”, giúp kiểm tra các yêu cầu gửi vào trước khi được thực thi. Tuy nhiên, với lỗ hổng lần này, kẻ tấn công có thể gửi một yêu cầu đã được “độn” thêm dữ liệu đủ lớn, khiến phần nội dung quan trọng không được chuyển đến lớp kiểm tra. Đáng nói là hệ thống kiểm soát vì không nhìn thấy nội dung nên cho rằng yêu cầu này an toàn, trong khi Docker phía sau vẫn xử lý đầy đủ. Sự lệch pha này tạo ra cơ hội để kẻ tấn công âm thầm tạo ra các container với quyền cao nhất, từ đó truy cập trực tiếp vào dữ liệu và tài nguyên của máy chủ.
​

Hậu quả là khi đã có quyền ở mức cao, kẻ tấn công có thể tiếp cận các thông tin nhạy cảm như khóa truy cập cloud, cấu hình hệ thống hay dữ liệu vận hành. Từ đó, chúng có thể mở rộng quyền kiểm soát sang các hệ thống khác như Kubernetes hoặc thậm chí đăng nhập vào máy chủ sản xuất từ xa. Điểm nguy hiểm là lỗ hổng này ảnh hưởng tới nhiều hệ thống đang phụ thuộc vào cơ chế kiểm tra kiểu này, khiến phạm vi tác động trở nên rộng hơn dự kiến.

Một yếu tố mới khiến vấn đề trở nên đáng lo hơn là sự xuất hiện của các công cụ AI hỗ trợ lập trình như OpenClaw. Trong một số tình huống, các công cụ này có thể vô tình bị “dẫn dắt” để thực hiện hành vi khai thác, hoặc thậm chí tự suy luận ra cách vượt qua kiểm soát khi gặp lỗi trong quá trình xử lý. Điều này đồng nghĩa với việc khai thác lỗ hổng không còn đòi hỏi kỹ thuật quá cao hay công cụ phức tạp, mà có thể được thực hiện chỉ với một yêu cầu được điều chỉnh khéo léo.

Hiện tại, lỗ hổng đã được vá trong phiên bản Docker Engine 29.3.1. Tuy nhiên, trong thực tế triển khai, việc cập nhật không phải lúc nào cũng diễn ra ngay lập tức. Vì vậy, các tổ chức nên hạn chế phụ thuộc hoàn toàn vào cơ chế kiểm tra nội dung yêu cầu, đồng thời kiểm soát chặt quyền truy cập vào Docker và ưu tiên chạy ở chế độ hạn chế quyền để giảm thiểu thiệt hại nếu xảy ra tấn công.
​

Theo The Hacker News​