Lỗ hổng LFI nghiêm trọng được phát hiện trong nền tảng blog Hashnode

Các chuyên gia đã tiết lộ một lỗ hổng file cục bộ ( Local file inclusion – LFI ) chưa từng được ghi nhận trước đây trong Hashnode , một nền tảng blog hướng đến nhà phát triển. Lỗ hổng này có thể bị lạm dụng để truy cập vào các dữ liệu nhạy cảm như khóa SSH, địa chỉ IP của máy chủ và những thông tin mạng khác.



Các chuyên gia của Akamai cho biết trong một báo cáo được chia sẻ với The Hacker News rằng: “LFI bắt nguồn từ tính năng Bulk Markdown Import có thể bị tin tặc thao túng để có khả năng tải xuống các file từ máy chủ của Hashnode mà không hề bị cản trở”.



Lỗ hổng file cục bộ xảy ra khi một ứng dụng web bị lừa để lộ hoặc chạy các file không được phê duyệt trên máy chủ. Điều này dẫn đến các cuộc tấn công truyền tải thư mục, rò rỉ thông tin, thực thi mã từ xa và tấn công cross-site scripting (XSS).



Lỗ hổng này xảy ra do ứng dụng web không lọc được đường dẫn an toàn đến tệp được chuyển làm đầu vào. Điều này có thể gây ra hậu quả nghiêm trọng khi kẻ tấn công có thể điều hướng đến bất kỳ đường dẫn nào trên máy chủ và truy cập vào các thông tin nhạy cảm, bao gồm tập file / etc / passwd chứa danh sách người dùng trên máy chủ.



Với cách khai thác này, các chuyên gia cho biết họ có thể xác định địa chỉ IP và khóa bảo mật riêng tư ( SSH ) được liên kết với máy chủ.



Mặc dù lỗ hổng bảo mật đã được giải quyết nhưng Akamai cho biết họ đã ghi nhận đến hơn 5 tỷ cuộc tấn công LFI trong khoảng thời gian từ ngày 1 tháng 9 năm 2021 đến ngày 28 tháng 2 năm 2022, đánh dấu mức tăng 141% so với sáu tháng trước đó .



Các chuyên gia cho biết: “Các cuộc tấn công LFI là một hướng tấn công có thể gây ra thiệt hại lớn cho một tổ chức vì một tin tặc có thể lấy thông tin về hệ thống mạng để do thám trong tương lai”.



Theo Thehackernews
The post Lỗ hổng LFI nghiêm trọng được phát hiện trong nền tảng blog Hashnode appeared first on SecurityDaily .