Bộ phận An toàn thông tin Bitech cảnh báo lỗ hổng mức độ HIGH (CVE-2026-48586) trên Apache Thrift. Khuyến nghị người dùng nâng cấp lên phiên bản 0.24.0.
Ngày 27/07/2026, cơ sở dữ liệu lỗ hổng quốc gia (NVD) và tổ chức Apache Software Foundation đã chính thức công bố lỗ hổng bảo mật nghiêm trọng có mã định danh CVE-2026-48586 trên framework Apache Thrift. Lỗ hổng này được xếp loại mức độ nghiêm trọng Cao (HIGH), đe dọa trực tiếp đến tính sẵn sàng của các hệ thống phần mềm đang sử dụng bộ thư viện này.
Chi tiết kỹ thuật và nguy cơ từ lỗ hổng CVE-2026-48586
Lỗ hổng CVE-2026-48586 xuất phát từ việc xử lý dữ liệu nén không đúng cách (Improper Handling of Highly Compressed Data). Đây là một dạng lỗ hổng khuếch đại dữ liệu (Data Amplification), hoạt động theo cơ chế tương tự như các cuộc tấn công dạng "Zip Bomb".
Khi ứng dụng tiếp nhận và xử lý các gói dữ liệu nén được thiết kế đặc biệt từ phía kẻ tấn công, trình giải nén của Apache Thrift sẽ tiêu tốn một lượng tài nguyên bộ nhớ (RAM) hoặc chu kỳ xử lý của CPU vượt xa kích thước của gói tin ban đầu. Sự chênh lệch quá lớn này gây ra hiện tượng khuếch đại dữ liệu, dẫn đến cạn kiệt tài nguyên hệ thống trong thời gian ngắn. Kẻ tấn công có thể dễ dàng lợi dụng kẽ hở này để thực hiện hành vi tấn công từ chối dịch vụ (Denial of Service - DoS), khiến ứng dụng bị treo hoặc ngừng hoạt động hoàn toàn.
Các đối tượng và phiên bản bị ảnh hưởng
Lỗ hổng này tác động tới tất cả các phiên bản Apache Thrift trước phiên bản 0.24.0.
Các bộ liên kết (bindings) ngôn ngữ lập trình bị ảnh hưởng cụ thể bao gồm:
- C++ binding
- Java binding
- Python binding
- Go binding
- D binding
- C/GLib binding
Bất kỳ hạ tầng dịch vụ nào (đặc biệt là mô hình Microservices hoặc RPC) triển khai Apache Thrift trên các ngôn ngữ nêu trên đều có rủi ro bị khai thác nếu chưa được cập nhật bản vá.
Khuyến nghị khắc phục
Để đảm bảo an toàn cho hệ thống và ngăn chặn nguy cơ bị tấn công DoS, Bitech khuyến nghị các nhà quản trị và đội ngũ phát triển phần mềm thực hiện các biện pháp sau:
- Cập nhật ngay lập tức: Nâng cấp thư viện Apache Thrift lên phiên bản 0.24.0 hoặc mới hơn. Phiên bản này đã bổ sung các cơ chế kiểm tra và xử lý an toàn đối với dữ liệu nén.
- Rà soát danh mục phụ thuộc (Dependencies): Kiểm tra lại toàn bộ các dự án phần mềm có sử dụng các gói thư viện Apache Thrift bindings bị ảnh hưởng để tiến hành cập nhật đồng bộ.
- Giám sát lưu lượng: Tăng cường giám sát việc sử dụng bộ nhớ và CPU tại các điểm tiếp nhận dữ liệu nhằm sớm phát hiện các dấu hiệu bất thường liên quan đến đợt tấn công khuếch đại dữ liệu.
Nguồn tham khảo
Người dùng có thể xem chi tiết thông báo an ninh tại các liên kết chính thức:
- Cơ sở dữ liệu lỗ hổng NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-48586
- Thông báo bảo mật Apache (1): https://lists.apache.org/thread/7v3jhgwfbmhx42424phydlnzb109g8b9
- Thông báo bảo mật Apache (2): https://lists.apache.org/thread/p008svsjf9p6bj47wyyf5dgglq5z7xoq
- Cảnh báo trên Openwall OSS-Security: http://www.openwall.com/lists/oss-security/2026/07/24/37
Ngày phát hành: 27/07/2026
Nguồn: NVD — CVE-2026-48586
Tham khảo: https://lists.apache.org/thread/7v3jhgwfbmhx42424phydlnzb109g8b9
Tham khảo: https://lists.apache.org/thread/p008svsjf9p6bj47wyyf5dgglq5z7xoq
Tham khảo: http://www.openwall.com/lists/oss-security/2026/07/24/37