Bitech phát cảnh báo về lỗ hổng Out-of-bounds Read (CVE-2026-58662) mức độ CRITICAL trên Apache Thrift C++. Khuyến nghị nâng cấp lên phiên bản 0.24.0 ngay.
Tổng quan về lỗ hổng CVE-2026-58662
Vào ngày 27/07/2026, thông tin chi tiết về lỗ hổng bảo mật nghiêm trọng mang mã hiệu CVE-2026-58662 đã chính thức được công bố. Lỗ hổng này ảnh hưởng trực tiếp đến thư viện Apache Thrift — một framework phần mềm mã nguồn mở phổ biến được sử dụng rộng rãi để phát triển các dịch vụ RPC (Remote Procedure Call) đa ngôn ngữ.
Sự cố được đánh giá ở mức độ CRITICAL (Nghiêm trọng), phát sinh từ cơ chế xử lý và xác thực dữ liệu đầu vào chưa an toàn trong gói liên kết C++ (C++ bindings) của Apache Thrift.
Phân tích kỹ thuật và Mức độ ảnh hưởng
Theo mô tả kỹ thuật từ Cơ sở dữ liệu Lỗ hổng Quốc gia (NVD) và dự án Apache, lỗ hổng này thuộc dạng Improper Validation of Specified Quantity in Input (Xác thực không chính xác số lượng được chỉ định trong dữ liệu đầu vào), dẫn đến lỗi Out-of-bounds Read (Đọc ngoài phạm vi bộ nhớ).
- Cơ chế lỗi: Khi nhận dữ liệu từ phía người dùng hoặc máy khách, Apache Thrift C++ bindings không kiểm tra chính xác giá trị số lượng chỉ định trong gói tin.
- Tác động: Kẻ tấn công có thể gửi các gói tin được thiết kế đặc biệt nhằm ép buộc ứng dụng đọc dữ liệu vượt quá phạm vi bộ nhớ được cấp phát. Việc này có thể dẫn đến làm rò rỉ các thông tin nhạy cảm lưu giữ trong RAM hoặc gây lỗi crash ứng dụng, dẫn đến tình trạng từ chối dịch vụ (DoS).
Đối tượng bị ảnh hưởng
Lỗ hổng này đe dọa trực tiếp đến:
- Tất cả các hệ thống, dịch vụ và ứng dụng đang sử dụng Apache Thrift các phiên bản trước 0.24.0 có triển khai thành phần C++ bindings.
- Các nhà phát triển phần mềm và quản trị viên hệ thống đang vận hành các hạ tầng dịch vụ phụ thuộc vào Apache Thrift C++.
Khuyến nghị khắc phục từ Bitech
Để đảm bảo an toàn cho hệ thống và tránh nguy cơ bị khai thác, Bitech khuyến nghị các đơn vị và nhà phát triển nhanh chóng thực hiện các biện pháp sau:
- Khẩn cấp cập nhật: Nâng cấp Apache Thrift lên phiên bản 0.24.0 hoặc phiên bản mới hơn. Bản phát hành này đã khắc phục hoàn toàn lỗi kiểm tra dữ liệu đầu vào trong C++ bindings.
- Rà soát mã nguồn: Kiểm tra toàn bộ các dự án nội bộ để xác định các phụ thuộc (dependencies) liên quan đến Apache Thrift C++ nhằm đưa ra kế hoạch cập nhật đồng bộ.
- Giám sát lưu lượng: Tăng cường theo dõi các truy vấn RPC bất thường gửi đến các dịch vụ Thrift trong thời gian chưa kịp hoàn tất nâng cấp.
Nguồn tham khảo
Quản trị viên có thể tra cứu thông tin kỹ thuật chi tiết tại các nguồn chính thức:
- NVD Detail: https://nvd.nist.gov/vuln/detail/CVE-2026-58662
- Apache Security Thread 1: https://lists.apache.org/thread/13mzvylr3r3nktxrh5k1h30ng1t1sw1d
- Apache Security Thread 2: https://lists.apache.org/thread/7v3jhgwfbmhx42424phydlnzb109g8b9
- Openwall OSS Security List: http://www.openwall.com/lists/oss-security/2026/07/24/45
Ngày phát hành: 27/07/2026
Nguồn: NVD — CVE-2026-58662
Tham khảo: https://lists.apache.org/thread/13mzvylr3r3nktxrh5k1h30ng1t1sw1d
Tham khảo: https://lists.apache.org/thread/7v3jhgwfbmhx42424phydlnzb109g8b9
Tham khảo: http://www.openwall.com/lists/oss-security/2026/07/24/45