Một lỗ hổng nghiêm trọng đã được phát hiện trong Apache bRPC, một Framework RPC cấp công nghiệp sử dụng ngôn ngữ C++. Hiện bRPC là một trong những dự án cấp cao nhất của Apache, được sử dụng rộng rãi trong các hệ thống hiệu suất cao như tìm kiếm, lưu trữ, học máy, quảng cáo và đề xuất.  

Lỗ hổng được theo dõi là CVE-2023-31039, ảnh hưởng đến Apache bRPC phiên bản 0.9.0 đến 1.4.9 trên tất cả các nền tảng. 

Lỗ hổng nằm trong tham số ServerOptions::pid_file của Apache bRPC, nếu bị khai thác thành công, có thể dẫn đến thực thi mã tùy ý. Bằng cách tác động đến tham số pid_file của ServerOptions trong quá trình khởi tạo máy chủ bRPC, tin tặc có thể thực thi mã tùy ý từ xa với cùng quyền như quy trình bRPC. Điều này có thể ảnh hưởng đến tính toàn vẹn của hệ thống. 

Để giảm thiểu rủi ro do lỗ hổng CVE-2023-31039 gây ra, người dùng Apache bRPC được khuyến nghị nâng cấp lên Apache bRPC phiên bản 1.5.0 trở lên.  

Nguồn: Securityonline