Cảnh báo lỗ hổng CRITICAL (CVE-2026-55971) trong Apache Thrift trước phiên bản 0.24.0. Quản trị viên cần nhanh chóng nâng cấp để khắc phục nguy cơ an toàn thông tin.
Mới đây, đội ngũ kỹ thuật tại Bitech (bitech.vn) đã ghi nhận thông tin cảnh báo về một lỗ hổng bảo mật ở mức độ Nghiêm trọng (CRITICAL) ảnh hưởng trực tiếp đến framework Apache Thrift. Lỗ hổng này được quản lý dưới mã định danh CVE-2026-55971 và chính thức được công bố vào ngày 27/07/2026.
Chi tiết kỹ thuật và mức độ ảnh hưởng
Lỗ hổng CVE-2026-55971 được xác định là lỗi tràn bộ nhớ đệm trên vùng nhớ Heap (Heap-based Buffer Overflow) xảy ra trong phần liên kết ngôn ngữ C++ (C++ bindings) của Apache Thrift.
Sự cố phát sinh khi chương trình xử lý dữ liệu vượt quá dung lượng bộ nhớ được cấp phát trên Heap. Khi bị kẻ xấu khai thác thành công, lỗ hổng này có thể dẫn đến:
- Gây gián đoạn dịch vụ (DoS): Làm ứng dụng hoặc dịch vụ bị sập bất ngờ, ảnh hưởng đến tính sẵn sàng của hệ thống.
- Nguy cơ can thiệp tiến trình: Tạo điều kiện cho kẻ tấn công ghi đè dữ liệu vùng nhớ, từ đó có khả năng thực thi mã không mong muốn hoặc làm sai lệch luồng xử lý của ứng dụng.
Do Apache Thrift là thư viện hỗ trợ giao tiếp đa ngôn ngữ được ứng dụng rộng rãi trong các hệ thống phân tán và kiến trúc microservices, mức độ rủi ro đối với các hạ tầng công nghệ là rất đáng chú ý.
Đối tượng bị ảnh hưởng
Theo thông tin xác nhận từ nhà phát triển, lỗ hổng này tác động đến:
- Tất cả các ứng dụng và dịch vụ sử dụng Apache Thrift phiên bản trước 0.24.0 (có kết nối/sử dụng C++ bindings).
Khuyến nghị khắc phục
Để đảm bảo an toàn cho ứng dụng và hạ tầng mạng, Bitech khuyến nghị các nhà phát triển và quản trị viên hệ thống thực hiện ngay các biện pháp sau:
- Nâng cấp phiên bản: Nhanh chóng cập nhật Apache Thrift lên phiên bản 0.24.0 hoặc mới hơn. Phiên bản này đã được phát hành để xử lý triệt để lỗi tràn bộ nhớ đệm nêu trên.
- Rà soát phụ thuộc: Kiểm tra lại toàn bộ các dự án C++ có nhúng Apache Thrift trong chuỗi cung ứng phần mềm để đảm bảo không bỏ sót các cấu phần chưa được vá.
- Giám sát hệ thống: Tăng cường theo dõi các log dịch vụ và lưu lượng mạng liên quan đến Apache Thrift để phát hiện sớm các hành vi bất thường.
Nguồn tham khảo
Quản trị viên có thể tra cứu thông tin chi tiết tại các nguồn chính thức sau:
- NVD - CVE-2026-55971
- Apache Mail Archives - Thread 1
- Apache Mail Archives - Thread 2
- OSS-Security Mailing List
Ngày phát hành: 27/07/2026
Nguồn: NVD — CVE-2026-55971
Tham khảo: https://lists.apache.org/thread/7v3jhgwfbmhx42424phydlnzb109g8b9
Tham khảo: https://lists.apache.org/thread/xjs36m6kjxpmrmzwck636msg3nvoqnmx
Tham khảo: http://www.openwall.com/lists/oss-security/2026/07/24/42