Một cảnh báo an ninh mạng quan trọng vừa được phát đi liên quan đến lỗ hổng bảo mật trong Apache NuttX (CVE-2025-48769), hệ điều hành thời gian thực phổ biến trên các dòng vi điều khiển. Sự cố này có thể dẫn đến tình trạng treo hệ thống nghiêm trọng hoặc thực hiện các thao tác tệp tin ngoài ý muốn, gây rủi ro lớn cho các thiết bị nhúng đang tiếp xúc trực tiếp với môi trường internet.

Chi tiết lỗ hổng Use-After-Free

Theo các báo cáo mới nhất về security, lỗ hổng mang mã hiệu CVE-2025-48769 thuộc loại lỗi Use-After-Free (UAF), xuất phát từ thành phần VFS trong mã nguồn fs/vfs/fs_rename của hệ điều hành. Các chuyên gia phân tích rằng vấn đề nảy sinh từ cách triển khai đệ quy sử dụng một bộ đệm đơn với hai biến con trỏ khác nhau, tạo điều kiện cho các thao tác tái cấp phát bộ đệm và ghi dữ liệu trái phép vào các phân vùng bộ nhớ heap đã được giải phóng trước đó. Điều này không chỉ gây mất ổn định hệ thống mà còn có thể bị lợi dụng để kích hoạt các lệnh đổi tên hoặc di chuyển tệp tin mà người dùng không hề hay biết.

Phạm vi ảnh hưởng và Rủi ro

Nguy cơ này đặc biệt trở nên rõ rệt đối với các tổ chức đang vận hành các dịch vụ mạng có quyền truy cập ghi, tiêu biểu như các máy chủ FTP chạy trên nền tảng RTOS này. Theo Shadowserver, lỗ hổng ảnh hưởng sâu rộng đến tất cả các phiên bản Apache NuttX từ 7.20 cho đến 12.10.0. Dù hiện tại chưa ghi nhận bất kỳ cuộc tấn công khai thác thực tế nào, nhưng mức độ phổ biến của NuttX trong các môi trường vi điều khiển từ 8-bit đến 64-bit khiến cộng đồng bảo mật phải đặt mức độ ưu tiên xử lý lên hàng đầu nhằm tránh các kịch bản tấn công chuỗi cung ứng vào hạ tầng IoT.

Biện pháp khắc phục

Để bảo vệ hệ thống, đội ngũ phát triển Apache NuttX đã nhanh chóng phối hợp cùng nhà nghiên cứu Richard Jiayang Liu từ Đại học Illinois để phát hành bản vá toàn diện trong phiên bản 12.11.0. Các tổ chức được khuyến nghị thực hiện nâng cấp ngay lập tức để loại bỏ hoàn toàn rủi ro bị khai thác. Trong trường hợp chưa thể cập nhật ngay, quản trị viên nên triển khai các biện pháp kiểm soát truy cập ở cấp độ mạng để hạn chế quyền ghi đối với các dịch vụ hệ thống tệp ảo, đặc biệt là các cổng kết nối FTP công cộng cho đến khi bản cập nhật bảo mật được triển khai đầy đủ trên toàn bộ thiết bị.