Một lỗ hổng bảo mật mức độ cao vừa được phát hiện trong GNU Wget2 (CVE-2025-69194), công cụ tải xuống dòng lệnh phổ biến, đe dọa trực tiếp đến tính toàn vẹn dữ liệu của người dùng. Sự cố này cho phép các tác nhân độc hại thực hiện hành vi ghi đè tệp tin từ xa, mở đường cho các cuộc tấn công chiếm quyền điều khiển máy tính.
Chi tiết lỗ hổng Path Traversal
Các chuyên gia vừa đưa ra cảnh báo về mã lỗi CVE-2025-69194 với điểm số CVSS lên tới 8.8, mức độ cực kỳ nghiêm trọng. Theo phân tích từ Red Hat, lỗ hổng này phát sinh từ cách thức Wget2 xử lý các tài liệu Metalink loại tệp chứa nhiều nguồn tải xuống khác nhau cho cùng một tệp tin. Thông thường, ứng dụng phải kiểm soát chặt chẽ vị trí lưu trữ tệp, nhưng Wget2 đã thất bại trong việc xác thực chính xác các đường dẫn tệp được liệt kê trong tài liệu này. Đây chính là lỗ hổng Path Traversal điển hình, nơi tin tặc sử dụng các ký tự điều hướng như ../ để đánh lừa công cụ thoát khỏi thư mục tải xuống an toàn và truy cập vào các khu vực nhạy cảm của hệ điều hành.
Hậu quả và Nguy cơ chiếm quyền
Hệ quả của việc khai thác thành công lỗ hổng này là vô cùng nghiêm trọng đối với người quản trị và người dùng cuối. Kẻ tấn công có thể buộc hệ thống ghi đè lên các tệp cấu hình hệ thống quan trọng hoặc các tài liệu cá nhân, dẫn đến mất dữ liệu vĩnh viễn hoặc làm hỏng toàn bộ hệ điều hành. Nguy hiểm hơn, bằng cách thay thế các kịch bản chạy tự động hoặc chỉnh sửa tệp mật khẩu, tin tặc có thể cài cắm mã độc để chiếm quyền kiểm soát hoàn toàn máy tính hoặc tạo ra các cửa sau nhằm xâm nhập lâu dài.
Khuyến cáo khắc phục
Dù cuộc tấn công yêu cầu người dùng phải chủ động tải xuống và xử lý tệp Metalink độc hại, nhưng rủi ro tiềm tàng khiến đây trở thành một vấn đề an ninh không thể xem nhẹ. Người dùng được khuyến cáo cần cực kỳ thận trọng khi tải xuống các tệp từ nguồn không tin cậy và nên kiểm tra các bản cập nhật mới nhất cho công cụ Wget2 để vá lỗ hổng này. Việc giám sát chặt chẽ các hoạt động ghi tệp bất thường trong quá trình sử dụng các công cụ dòng lệnh là bước đi cần thiết để bảo vệ hạ tầng công nghệ trước các kỹ thuật tấn công ngày càng tinh vi.
