Lỗi BRMS nghiêm trọng cho phép leo thang đặc quyền trên IBM i

[WhiteHat Team]

IBM vừa phát hành bản vá cho một lỗ hổng nghiêm trọng ảnh hưởng đến hệ thống Backup, Recovery and Media Services (BRMS) trên nền tảng IBM i. Lỗ hổng này có thể bị khai thác để leo thang đặc quyền và thực thi mã với quyền truy cập hệ thống tối đa – tương đương quyền root.

Lỗ hổng được gán mã CVE-2025-33108 với điểm CVSS lên tới 8,5, ảnh hưởng trực tiếp đến các hệ thống IBM i phiên bản 7,4 và 7,5 có cài đặt BRMS. Khi bị khai thác, kẻ tấn công có thể thực thi mã tùy ý, truy cập và chỉnh sửa dữ liệu nhạy cảm, gián đoạn hoạt động sao lưu và khôi phục, thậm chí mở rộng tấn công sang các máy chủ khác trong mạng nội bộ.

Nguyên nhân bắt nguồn từ việc các chương trình BRMS gọi thư viện mà không chỉ rõ đường dẫn an toàn (unqualified library calls). Đáng lo ngại, kẻ tấn công không cần đặc quyền cao, chỉ với quyền biên dịch hoặc khôi phục chương trình – vốn phổ biến trong môi trường vận hành đã có thể thay thế thư viện hợp pháp bằng thư viện giả mạo chứa mã độc. Từ đó, mã độc sẽ được hệ thống tự động liên kết và thực thi, mở đường cho việc chiếm quyền điều khiển toàn bộ hệ thống và mở rộng tấn công sang các máy chủ khác trong mạng nội bộ.

Theo chuẩn phân loại CWE, lỗ hổng thuộc nhóm CWE-250: Thực thi với đặc quyền không cần thiết. Việc không kiểm soát rõ ràng thư viện được liên kết khiến hệ thống dễ bị điều hướng tới mã độc.

IBM đã phát hành các Program Temporary Fixes (PTF) để xử lý lỗ hổng gồm:

• SJ05906 cho IBM i 7.4
• SJ05907 cho IBM i 7.5
  Các bản vá hiện đã có trên Fix Central.

Ngoài ra, IBM khuyến nghị các tổ chức triển khai thêm các biện pháp giảm thiểu rủi ro:

• Hạn chế quyền người dùng trong thao tác biên dịch và khôi phục chương trình
• Phân tách mạng đối với hệ thống BRMS
• Giám sát các thư viện được gọi thông qua nhật ký hệ thống

Hiện chưa ghi nhận khai thác thực tế, nhưng do BRMS là thành phần trọng yếu trong hạ tầng sao lưu, đặc biệt tại các tổ chức tài chính, y tế và doanh nghiệp lớn, việc vá lỗi kịp thời là tối quan trọng để tránh nguy cơ bị tấn công có chủ đích và lan rộng trong nội bộ.

Theo Cyber Press​