Cảnh báo bảo mật: Lỗ hổng CVE-2026-58389 mức độ HIGH trong Apache Thrift Rust Bindings

Đội ngũ biên tập Bitech (bitech.vn) phát cảnh báo bảo mật liên quan đến lỗ hổng nghiêm trọng được phát hiện trong thư viện Apache Thrift, cụ thể ảnh hưởng đến phần liên kết ngôn ngữ Rust (Rust bindings).

1. Tổng quan về lỗ hổng

• Mã lỗ hổng: CVE-2026-58389
• Mức độ nghiêm trọng: HIGH (Nghiêm trọng)
• Ngày phát hành: 27/07/2026
• Thành phần ảnh hưởng: Apache Thrift Rust bindings

2. Mô tả kỹ thuật và tác động

Lỗ hổng CVE-2026-58389 thuộc dạng Allocation of Resources Without Limits or Throttling (Cấp phát tài nguyên không có giới hạn hoặc không kiểm soát tần suất).

Khi ứng dụng sử dụng gói Apache Thrift Rust bindings để tiếp nhận và xử lý các dữ liệu hoặc yêu cầu đầu vào từ bên ngoài, hệ thống không thực hiện cơ chế kiểm soát giới hạn kích thước hay số lượng tài nguyên được cấp phát. Kẻ tấn công có thể lợi dụng sơ hở này bằng cách gửi các yêu cầu độc hại được cấu trúc đặc biệt, buộc ứng dụng phải tiêu tốn quá mức bộ nhớ (RAM) hoặc tài nguyên xử lý (CPU).

Tác động chính của lỗ hổng bao gồm:

• Gây từ chối dịch vụ (DoS): Làm cạn kiệt tài nguyên máy chủ, khiến ứng dụng bị treo, gián đoạn hoặc ngưng hoạt động đột ngột.
• Ảnh hưởng tính sẵn sàng: Các dịch vụ backend hoặc hệ thống microservices phụ thuộc vào Apache Thrift Rust bindings có thể bị vô hiệu hóa, ảnh hưởng trực tiếp đến người dùng cuối.

3. Đối tượng bị ảnh hưởng

Lỗ hổng này ảnh hưởng trực tiếp đến các hệ thống và dự án phần mềm sử dụng Apache Thrift các phiên bản trước 0.24.0 (bao gồm tất cả các bản < 0.24.0) có tích hợp thành phần Rust bindings.

4. Khuyến nghị khắc phục

Để đảm bảo an toàn cho hệ thống và duy trì tính sẵn sàng của dịch vụ, Bitech khuyến nghị các quản trị viên và nhà phát triển thực hiện ngay các biện pháp sau:

1. Nâng cấp phiên bản: Cập nhật Apache Thrift lên phiên bản 0.24.0 hoặc mới hơn. Phiên bản này đã khắc phục hoàn toàn vấn đề bằng cách bổ sung giới hạn cấp phát tài nguyên.
2. Rà soát mã nguồn: Kiểm tra lại toàn bộ danh mục phụ thuộc (Cargo.toml trong dự án Rust) để đảm bảo không còn sử dụng các bản vá lỗi chưa hoàn chỉnh hoặc phiên bản cũ.
3. Giám sát hệ thống: Bổ sung các quy tắc theo dõi lưu lượng và hạn chế tốc độ (rate limiting) ở cấp độ mạng/gateway để giảm thiểu rủi ro tấn công DoS trong thời gian chờ cập nhật.

5. Nguồn tham khảo

Quý độc giả và các nhà phát triển có thể tra cứu thông tin chi tiết từ các thông báo chính thức:

• NVD - Detail CVE-2026-58389
• Apache Security Advisory Thread 1
• Apache Security Advisory Thread 2
• Openwall OSS Security Announcement

Ngày phát hành: 27/07/2026
Nguồn: NVD — CVE-2026-58389
Tham khảo: https://lists.apache.org/thread/7v3jhgwfbmhx42424phydlnzb109g8b9
Tham khảo: https://lists.apache.org/thread/ht2mjt8m3vz9v0h5pqzvc4r4nzfxwtrw
Tham khảo: http://www.openwall.com/lists/oss-security/2026/07/24/44