| Nguy cơ kép đe dọa an ninh máy tính Cảnh báo nguy cơ mất an toàn thông tin do lỗ hổng trong các sản phẩm Microsoft Quyền riêng tư bị đe dọa như thế nào bởi AI Agent? |
Internet Systems Consortium (ISC) vừa công bố hai lỗ hổng bảo mật cực kỳ nghiêm trọng trong phần mềm BIND 9, gây ra mối đe dọa lớn đối với an ninh mạng toàn cầu. Được công bố chính thức vào ngày 16 tháng 7 năm 2025, các lỗ hổng này có thể ảnh hưởng đến hàng triệu máy chủ DNS trên toàn thế giới.
 |
| Lỗ hổng CVE-2025-40777: BIND 9 Assertion FailureCVSS Score: 7.5 - Denial of Service Attack |
Với hàng triệu máy chủ DNS trên toàn thế giới đang vận hành BIND 9, tác động tiềm tàng của những lỗ hổng này có thể lan rộng đến mọi góc của internet, ảnh hưởng trực tiếp đến khả năng truy cập web, email, và các dịch vụ trực tuyến của hàng tỷ người dùng và hàng nghìn tổ chức trên toàn cầu.
BIND 9 là phần mềm DNS mã nguồn mở được sử dụng rộng rãi nhất thế giới, chiếm khoảng 40-50% thị phần máy chủ DNS toàn cầu. Phần mềm này đóng vai trò quan trọng trong việc chuyển đổi các tên miền như "google.com" thành địa chỉ IP mà máy tính có thể hiểu được. Do đó, bất kỳ lỗ hổng nào trong BIND 9 đều có tiềm năng tác động đến một phần lớn cơ sở hạ tầng internet toàn cầu.
Lỗ hổng này khai thác một điểm yếu trong cách xử lý EDNS Client Subnet của các trình phân giải DNS. ECS là tiện ích mở rộng cho phép trình phân giải chia sẻ thông tin vị trí địa lý của máy khách với máy chủ định danh để tối ưu hóa hiệu suất.
Cuộc tấn công "birthday attack" hoạt động dựa trên nguyên lý "birthday paradox" - xác suất hai sự kiện ngẫu nhiên trùng khớp cao hơn trực giác thông thường. Kẻ tấn công:
Khi thành công, kẻ tấn công có thể:
Lỗ hổng CVE-2025-40777, mặc dù có điểm CVSS thấp hơn (7.5) so với lỗ hổng đầu tiên, nhưng vẫn đại diện cho một mối đe dọa nghiêm trọng về khả dụng dịch vụ. Không giống như CVE-2025-40776 chỉ ảnh hưởng đến Subscription Edition, lỗ hổng này tác động đến cả phiên bản tiêu chuẩn và subscription của BIND 9
Lỗ hổng chỉ xảy ra khi đồng thời có hai điều kiện cấu hình:
| serve-stale-enable được đặt thành "yes" stale-answer-client-timeout được đặt thành 0 |
Khi BIND 9 xử lý các chuỗi CNAME phức tạp trong điều kiện cấu hình đặc biệt, một assertion kiểm tra tính hợp lệ của dữ liệu nội bộ thất bại, dẫn đến daemon DNS dừng hoạt động đột ngột.
Quy trình dẫn đến lỗi diễn ra như sau:
1. Nhận truy vấn DNS: Trình phân giải nhận được một truy vấn DNS cho một tên miền có chuỗi CNAME phức tạp.
2. Kiểm tra bộ nhớ đệm: Do cấu hình serve-stale-enable, trình phân giải cố gắng tìm kiếm bản ghi đã hết hạn trong bộ nhớ đệm.
3. Xử lý timeout: Với stale-answer-client-timeout được đặt thành 0, trình phân giải ngay lập tức cố gắng phục vụ bản ghi đã hết hạn mà không chờ đợi.
4. Lỗi logic nội bộ: Trong quá trình xử lý chuỗi CNAME với các điều kiện này, một assertion kiểm tra tính hợp lệ của dữ liệu nội bộ thất bại, dẫn đến việc daemon DNS dừng hoạt động đột ngột.
Đến thời điểm hiện tại, ISC khẳng định chưa ghi nhận bằng chứng khai thác thực tế nào. Tuy nhiên:
Nâng cấp phần mềm BIND Subscription Edition:
BIND Standard Edition:
Đối với CVE-2025-40776: Vô hiệu hóa EDNS Client Subnet bằng cách thêm vào cấu hình:
| options { edns-client-subnet no; } |
Đối với CVE-2025-40777: Điều chỉnh cấu hình serve-stale:
| options { serve-stale-enable yes; stale-answer-client-timeout 5; // Đặt thành giá trị > 0 } |
Đối với tổ chức
Đối với nhà cung cấp dịch vụ
Việc phát hiện các lỗ hổng nghiêm trọng trong BIND 9 nhấn mạnh tầm quan trọng của việc duy trì bảo mật hạ tầng DNS. Với vai trò quan trọng của BIND 9 trong hoạt động internet toàn cầu, CVE-2025-40776 và CVE-2025-40777 đại diện cho mối đe dọa thực sự đối với an ninh mạng quốc tế.
Mặc dù ISC đã nhanh chóng phát hành các bản vá lỗi, trách nhiệm cuối cùng thuộc về các quản trị viên hệ thống trong việc triển khai biện pháp khắc phục kịp thời. Các tổ chức sử dụng BIND 9 được khuyến cáo mạnh mẽ thực hiện ngay lập tức các biện pháp được đề xuất và duy trì sự cảnh giác liên tục đối với các mối đe dọa bảo mật mới trong tương lai.
Trong môi trường mạng ngày càng phức tạp, việc duy trì chiến lược bảo mật DNS toàn diện không chỉ là best practice mà còn là yêu cầu bắt buộc để bảo vệ dữ liệu và duy trì hoạt động kinh doanh.
Nguồn thông tin:
