Cảnh báo: Lỗ hổng nghiêm trọng trên OpenWrt cho phép kẻ tấn công thực thi mã từ xa với quyền root

Dự án OpenWrt vừa chính thức phát hành các phiên bản 24.10.8 và 25.12.5 nhằm giải quyết một lỗ hổng nghiêm trọng trong stack DHCPv6, cùng hàng loạt các điểm yếu bảo mật khác trong các dịch vụ mạng mặc định.

Lỗ hổng CVE-2026-53921: Nguy cơ chiếm quyền điều khiển router

Lỗ hổng quan trọng nhất, được định danh là CVE-2026-53921 (đạt điểm 9.8 trên thang CVSS 3.1), nằm trong dịch vụ odhcpd. Kẻ tấn công không cần xác thực có thể gửi các gói tin DHCPv6 REQUEST đã được tùy chỉnh để ghi đè lên stack buffer. Do odhcpd chạy với quyền root và nhiều thiết bị nhúng thiếu các cơ chế bảo vệ như stack canaries hay ASLR, việc thực thi mã từ xa (RCE) là hoàn toàn khả thi.

Hiện tại, các nhà phát triển đã cung cấp mã proof-of-concept (PoC) cho thấy hai đường dẫn tràn bộ đệm khác nhau. Người dùng được khuyến cáo cập nhật ngay lên phiên bản 24.10.8 hoặc 25.12.5 thông qua OpenWrt Firmware Selector.

Các phát hiện từ cuộc kiểm định bảo mật của Hacker House

Song song với bản vá lỗi DHCPv6, một cuộc kiểm định bảo mật sử dụng AI do Hacker House thực hiện đã phát hiện thêm nhiều lỗ hổng trong các thành phần tùy chọn của LuCI, bao gồm:

• Command injection: Cho phép thực thi lệnh hệ thống thông qua các tham số đầu vào không được kiểm soát.
• Path traversal: Lỗ hổng cho phép truy cập trái phép vào các tệp tin hệ thống.
• Stored XSS: Lỗ hổng kịch bản chéo, đặc biệt nguy hiểm khi quản trị viên truy cập vào các trang quản lý như leases hoặc neighbours.

Đáng chú ý, một số lỗ hổng trong luci-app-commands có thể bị khai thác mà không cần xác thực nếu quản trị viên vô tình cấu hình lệnh ở chế độ “public” và “parameterised”.

Khuyến nghị cho quản trị viên

Mặc dù chưa có báo cáo về việc các lỗ hổng này bị khai thác rộng rãi trong thực tế, người dùng cần thực hiện các bước sau để đảm bảo an toàn:

• Cập nhật firmware: Nâng cấp lên bản 24.10.8 hoặc 25.12.5 ngay lập tức.
• Kiểm tra gói cài đặt: Các gói cài đặt riêng lẻ ngoài firmware gốc cũng cần được cập nhật thủ công.
• Rà soát cấu hình: Kiểm tra lại các quyền trong LuCI, gỡ bỏ các ứng dụng không cần thiết và đặc biệt lưu ý các lệnh trong luci-app-commands.
• Lộ trình di chuyển: Lưu ý rằng nhánh 24.10 sẽ kết thúc hỗ trợ vào tháng 9/2026, người dùng nên sớm lên kế hoạch chuyển sang series 25.12.

Việc sử dụng AI trong quá trình kiểm định và vá lỗi (với sự hỗ trợ từ các mô hình như Claude) cho thấy xu hướng mới trong việc phát hiện và xử lý các lỗ hổng phần mềm nguồn mở, tuy nhiên sự xác nhận thủ công từ các chuyên gia vẫn đóng vai trò quyết định trong việc đảm bảo tính ổn định của bản vá.

Nguồn tham khảo: The Hacker News