Điểm chính

  • AI Mythos của Anthropic đã tự động phát hiện lỗ hổng nghiêm trọng CVE-2026-61500 trong Rejetto HTTP File Server.
  • Lỗ hổng bắt nguồn từ việc sử dụng hàm Math.random() không an toàn để tạo khóa phiên trong nhánh HFS 3.x.
  • Kẻ tấn công có thể giả mạo phiên quản trị viên và thực thi mã tùy ý từ xa trên hệ thống mục tiêu.

Nhóm nghiên cứu bảo mật từ Horizon3, phối hợp cùng dự án Project Glasswing của Anthropic, vừa công bố một lỗ hổng bảo mật nghiêm trọng mang mã CVE-2026-61500 trong phần mềm Rejetto HTTP File Server (HFS). Điểm đáng chú ý là lỗ hổng này được phát hiện thông qua sự hỗ trợ của mô hình trí tuệ nhân tạo AI Mythos, cho phép kẻ tấn công thực hiện chiếm quyền điều khiển phiên làm việc và thực thi mã từ xa.

Phân tích kỹ thuật lỗ hổng CVE-2026-61500

Lỗ hổng tồn tại trong nhánh HFS 3.x được phát triển bằng TypeScript, sử dụng framework Koa Node.js để quản lý phiên làm việc. Vấn đề phát sinh khi tham số COOKIE_SIGN_KEYS không được cấu hình thủ công, khiến ứng dụng tự động tạo khóa ký phiên thông qua hàm randomId(30). Thay vì áp dụng bộ tạo số ngẫu nhiên an toàn về mặt mật mã (CSPRNG), hệ thống lại sử dụng hàm Math.random() tiêu chuẩn của JavaScript.

Trong môi trường Node.js, engine V8 hiện thực hóa Math.random() dựa trên thuật toán xorshift128+. Thuật toán này tối ưu về hiệu suất nhưng không bảo đảm an toàn mật mã. Kẻ xấu có thể thu thập các giá trị đầu ra liên tiếp từ cookie phiên để tái tạo trạng thái nội bộ của bộ tạo số, từ đó suy luận ra khóa ký phiên được khởi tạo khi máy chủ bắt đầu hoạt động.

Quy trình khai thác lỗ hổng

Quá trình tấn công diễn ra qua nhiều bước kỹ thuật, bao gồm việc thu thập dữ liệu bằng cách kích hoạt đăng nhập nhiều lần để lấy giá trị ngẫu nhiên từ luồng xorshift128+. Tiếp theo, kẻ tấn công dùng các công cụ giải toán như Z3 Solver để khôi phục trạng thái bộ tạo số ngẫu nhiên. Sau khi có khóa ký, chúng tạo cookie phiên giả mạo với quyền quản trị viên, vượt qua giới hạn IP và lợi dụng API quản trị để thực thi mã JavaScript tùy ý, đạt quyền RCE hoàn toàn.

Khuyến nghị phòng thủ và bảo mật

Sự việc cho thấy nguy cơ lớn khi AI có thể tự động hóa việc phát triển chuỗi khai thác cho các lỗ hổng phức tạp. Để bảo vệ hệ thống trước CVE-2026-61500, quản trị viên cần cập nhật bản vá từ nhà cung cấp, cấu hình thủ công tham số COOKIE_SIGN_KEYS một cách mạnh mẽ, cô lập chức năng quản trị khỏi mạng công cộng và thiết lập hệ thống giám sát cảnh báo các hoạt động đăng nhập bất thường.