Cisco và Atlassian vừa đồng loạt phát hành các bản vá bảo mật cho nhiều lỗ hổng nghiêm trọng trong sản phẩm của mình, trong đó phần lớn có thể dẫn đến tình trạng từ chối dịch vụ (DoS).
Phía Cisco đã cập nhật firmware cho các thiết bị Meraki nhằm khắc phục lỗ hổng nghiêm trọng CVE-2025-20271 (điểm CVSS 8.6), cho phép kẻ tấn công từ xa khiến máy chủ VPN AnyConnect trên các thiết bị này bị khởi động lại, dẫn đến gián đoạn dịch vụ VPN cho toàn bộ người dùng hợp pháp. Nguyên nhân xuất phát từ lỗi khởi tạo biến khi thiết lập phiên SSL VPN với xác thực bằng chứng chỉ. Nếu bị khai thác liên tục, lỗ hổng này có thể khiến dịch vụ VPN không thể kết nối mới, gây tê liệt hoàn toàn truy cập từ xa của doanh nghiệp. Lỗi này ảnh hưởng đến khoảng hai chục mẫu thiết bị Meraki MX và Meraki Z, đã được khắc phục trong các bản firmware 18.107.13, 18.211.6 và 19.1.8.
Bên cạnh đó, Cisco cũng đã xử lý một lỗ hổng DoS khác trong quá trình xử lý định dạng đĩa UDF của phần mềm ClamAV (CVE-2025-20234). Kẻ tấn công chỉ cần gửi file chứa dữ liệu UDF được thiết kế đặc biệt để khiến tiến trình quét của ClamAV bị dừng, dẫn đến gián đoạn dịch vụ bảo mật. Hiện chưa ghi nhận trường hợp khai thác thực tế nào, nhưng Cisco khuyến cáo người dùng nên cập nhật bản vá sớm nhất có thể.
Về phía Atlassian, hãng đã phát hành bản vá cho năm lỗ hổng trong các thư viện bên thứ ba được sử dụng bởi Bamboo, Bitbucket, Confluence, Crowd và Jira. Các lỗ hổng này bao gồm: lỗi phân quyền trong Spring (CVE-2025-22228), lỗi DoS trong Netty (CVE-2025-24970), lỗi path traversal trong WebMvc.fn và WebFlux.fn (CVE-2024-38816), lỗi DoS trong Netplex Json-smart (CVE-2024-57699) và lỗi DoS trong Apache Tomcat (CVE-2025-31650). Để khắc phục, Atlassian đã phát hành các bản cập nhật phần mềm mới cho tất cả các nền tảng Data Center và Server của các sản phẩm liên quan. Người dùng được khuyến nghị cập nhật hệ thống càng sớm càng tốt, dù hiện tại chưa ghi nhận trường hợp khai thác thực tế nào đối với các lỗ hổng này.
Việc cập nhật kịp thời các bản vá này là rất quan trọng nhằm bảo đảm an toàn cho hệ thống, đặc biệt trong bối cảnh các lỗ hổng DoS có thể gây gián đoạn nghiêm trọng cho hoạt động doanh nghiệp, nhất là với các tổ chức phụ thuộc vào kết nối VPN và các nền tảng cộng tác trực tuyến.
