Apache Thrift ghi nhận lỗ hổng tràn số nguyên CVE-2026-55969 mức độ HIGH. Bitech khuyến nghị người dùng nhanh chóng nâng cấp lên phiên bản 0.24.0.
Tổng quan về lỗ hổng CVE-2026-55969
Vừa qua, cơ sở dữ liệu lỗ hổng bảo mật quốc gia (NVD) và Apache Software Foundation đã công bố thông tin về lỗ hổng bảo mật có mã số CVE-2026-55969 xuất hiện trong thư viện Apache Thrift. Lỗ hổng này được phát hành chính thức vào ngày 27/07/2026 và được đánh giá ở mức độ nghiêm trọng HIGH (Cao).
Apache Thrift là một khung làm việc (framework) nguồn mở phổ biến giúp phát triển các dịch vụ RPC (Remote Procedure Call) đa ngôn ngữ một cách hiệu quả. Do tính phổ biến của thư viện này trong các hệ thống phân tán, các rủi ro bảo mật liên quan đến Apache Thrift cần được các nhà phát triển và quản trị viên hệ thống chú ý xử lý kịp thời.
Chi tiết kỹ thuật và Mức độ ảnh hưởng
Lỗ hổng CVE-2026-55969 xuất phát từ lỗi tràn số nguyên (Integer Overflow or Wraparound) trong quá trình xử lý dữ liệu của các binding ngôn ngữ thuộc Apache Thrift. Khi kẻ tấn công gửi các yêu cầu được thao tác đặc biệt, sự cố tràn số nguyên có thể dẫn đến việc xử lý bộ nhớ sai lệch, gây ra nguy cơ từ chối dịch vụ (DoS) hoặc các hành vi bất thường khác trên ứng dụng.
Các binding ngôn ngữ bị ảnh hưởng trực tiếp bao gồm:
- C++
- c_glib
- Go
- netstd (.NET Standard)
- Delphi
- Haxe
Đối tượng bị ảnh hưởng
Lỗ hổng này tác động tới tất cả các ứng dụng và dịch vụ đang sử dụng Apache Thrift các phiên bản trước 0.24.0 có triển khai một trong các binding ngôn ngữ nêu trên.
Khuyến nghị khắc phục từ Bitech
Để đảm bảo an toàn cho hệ thống và tránh nguy cơ bị khai thác, Bitech khuyến nghị các đơn vị và nhà phát triển thực hiện ngay các giải pháp sau:
- Nâng cấp phiên bản: Tiến hành cập nhật Apache Thrift lên phiên bản 0.24.0 hoặc phiên bản mới hơn càng sớm càng tốt. Phiên bản này đã khắc phục triệt để sự cố tràn số nguyên.
- Rà soát mã nguồn: Kiểm tra lại toàn bộ danh sách phụ thuộc (dependencies) trong các dự án C++, Go, .NET, Delphi, Haxe để đảm bảo không còn sử dụng các bản vá lỗi cũ của Thrift.
- Giám sát lưu lượng: Trong thời gian chờ cập nhật, tăng cường giám sát các truy vấn bất thường hướng tới cổng dịch vụ RPC của Apache Thrift.
Nguồn tham khảo
Người dùng có thể tra cứu chi tiết kỹ thuật từ các nguồn chính thức dưới đây:
- Thông tin tại NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-55969
- Thông báo trên Apache Mail List (1): https://lists.apache.org/thread/7v3jhgwfbmhx42424phydlnzb109g8b9
- Thông báo trên Apache Mail List (2): https://lists.apache.org/thread/xmkgd107k795hyrg5kf97mny30sgl5bo
- Cảnh báo trên Openwall Security: http://www.openwall.com/lists/oss-security/2026/07/24/40
Ngày phát hành: 27/07/2026
Nguồn: NVD — CVE-2026-55969
Tham khảo: https://lists.apache.org/thread/7v3jhgwfbmhx42424phydlnzb109g8b9
Tham khảo: https://lists.apache.org/thread/xmkgd107k795hyrg5kf97mny30sgl5bo
Tham khảo: http://www.openwall.com/lists/oss-security/2026/07/24/40