Lỗ hổng CVE-2026-48145 trên Apache Thrift C++ cho phép tấn công Man-in-the-Middle do xác thực chứng chỉ sai lệch. Khuyến nghị cập nhật ngay lên bản 0.24.0.
Tổng quan về lỗ hổng bảo mật CVE-2026-48145
Ngày 27/07/2026, thông tin về lỗ hổng bảo mật với mã hiệu CVE-2026-48145 ảnh hưởng đến thư viện Apache Thrift đã chính thức được công bố. Lỗ hổng này được đánh giá ở mức độ nghiêm trọng HIGH (Cao), đe dọa trực tiếp đến tính bảo mật dữ liệu truyền tải giữa các hệ thống sử dụng ngôn ngữ C++.
Apache Thrift là một khung làm việc (framework) phổ biến được sử dụng để phát triển các dịch vụ chia sẻ dữ liệu và giao tiếp giữa các ngôn ngữ lập trình khác nhau một cách hiệu quả.
Chi tiết kỹ thuật và Tác động
Lỗ hổng CVE-2026-48145 xuất phát từ lỗi Improper Validation of Certificate with Host Mismatch (Xác thực chứng chỉ không chính xác khi hostname không khớp) trong thành phần C++ bindings của Apache Thrift.
Cụ thể, khi thiết lập kết nối mã hóa SSL/TLS, ứng dụng C++ sử dụng Apache Thrift không kiểm tra chính xác liệu tên máy chủ (hostname) đang kết nối có khớp với thông tin tên miền được ghi trên chứng chỉ SSL/TLS hay không. Điều này tạo điều kiện thuận lợi cho kẻ tấn công thực hiện phương thức tấn công xen giữa (Man-in-the-Middle - MitM):
- Kẻ tấn công có thể chặn lưu lượng truy cập và sử dụng một chứng chỉ SSL/TLS hợp lệ bất kỳ (nhưng dành cho một hostname khác) để giả mạo máy chủ đích.
- Do hệ thống không kiểm tra tính tương thích của hostname, kết nối vẫn được chấp nhận.
- Dữ liệu nhạy cảm truyền qua lại giữa client và server có thể bị đọc lén, giải mã hoặc chỉnh sửa mà không bị phát hiện.
Đối tượng bị ảnh hưởng
- Sản phẩm ảnh hưởng: Apache Thrift (thành phần C++ bindings).
- Phiên bản bị ảnh hưởng: Tất cả các phiên bản Apache Thrift trước 0.24.0.
- Hệ thống nguy cơ: Các ứng dụng, dịch vụ microservices viết bằng C++ có triển khai Apache Thrift để truyền tải dữ liệu qua kênh mã hóa SSL/TLS.
Khuyến nghị khắc phục
Để khắc phục lỗ hổng bảo mật CVE-2026-48145 và bảo vệ an toàn cho hệ thống, Bitech khuyến nghị các tổ chức và nhà phát triển nhanh chóng thực hiện các bước sau:
- Cập nhật phiên bản: Cập nhật Apache Thrift lên phiên bản 0.24.0 hoặc phiên bản mới hơn. Phiên bản này đã vá hoàn toàn lỗi xác thực chứng chỉ.
- Rà soát mã nguồn: Kiểm tra lại tất cả các dịch vụ C++ đang tích hợp Apache Thrift để đảm bảo quy trình xác thực chứng chỉ SSL/TLS đã được áp dụng cấu hình an toàn.
- Tăng cường giám sát: Giám sát lưu lượng mạng để phát hiện sớm các hành vi bất thường hoặc dấu hiệu can thiệp kết nối SSL/TLS từ bên ngoài.
Nguồn tham khảo
- Cơ sở dữ liệu lỗ hổng quốc gia (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-48145
- Thông báo bảo mật từ Apache: https://lists.apache.org/thread/2popgc4ks1l87jjho1w5fpk5k4x06b7h
- Apache Security Archive: https://lists.apache.org/thread/7v3jhgwfbmhx42424phydlnzb109g8b9
- Cảnh báo bảo mật Openwall: http://www.openwall.com/lists/oss-security/2026/07/24/36
Ngày phát hành: 27/07/2026
Nguồn: NVD — CVE-2026-48145
Tham khảo: https://lists.apache.org/thread/2popgc4ks1l87jjho1w5fpk5k4x06b7h
Tham khảo: https://lists.apache.org/thread/7v3jhgwfbmhx42424phydlnzb109g8b9
Tham khảo: http://www.openwall.com/lists/oss-security/2026/07/24/36