Apache Tomcat có lỗ hổng mức nghiêm trọng "CRITICAL" cao nhất ～Đã có bản vá cho các nhánh v9 / v10 / v11～

Chuyện gì đã xảy ra?

Ngày 20/10, tổ chức Apache Software Foundation (ASF) cho biết Apache Tomcat có tổng cộng 8 lỗ hổng bảo mật. Các lỗ hổng này ảnh hưởng đến các dòng phiên bản v9, v10 và v11. Một số lỗ hổng được chấm điểm ở mức CRITICAL, tức là rất nghiêm trọng, với điểm 9.1 trên thang 10 theo chuẩn CVSS.

Các con số và sự kiện chính

• Tổng số lỗ hổng: 8.
• Điểm nghiêm trọng cao nhất: 9.1 (CRITICAL). Có 3 lỗ hổng ở mức này theo CVSS 3.1 hoặc 4.0.
• Bản vá: Apache Tomcat v9.0.123, v10.1.61 và v11.0.27, phát hành ngày 12/10.
• Ngày 22/10 là ngày bài báo được đăng. Bản vá đã có từ trước khi bài báo ra.
• Dòng v9.0 sẽ ngừng được hỗ trợ vào ngày 31/3/2027.

Lỗ hổng bảo mật là gì?

Lỗ hổng bảo mật là một điểm yếu trong phần mềm. Kẻ xấu có thể lợi dụng điểm yếu này để xâm nhập hoặc gây hại. Cách đơn giản nhất để tự bảo vệ là cập nhật lên phiên bản đã được sửa lỗi. Mỗi lỗ hổng có một mã CVE riêng để dễ tra cứu.

Vì sao tin này quan trọng?

Apache Tomcat được nhiều trang web và hệ thống dùng để chạy ứng dụng. Nếu không cập nhật, hệ thống có thể bị tấn công. Người quản trị nên kiểm tra phiên bản đang dùng và cài bản vá sớm. Các phiên bản v9.0 sắp hết hỗ trợ, nên cũng cần cân nhắc nâng cấp lên dòng mới hơn.

Cần theo dõi điều gì?

• Kiểm tra xem hệ thống đang dùng phiên bản Tomcat nào và có nằm trong danh sách bị ảnh hưởng không.
• Cập nhật lên v9.0.123, v10.1.61 hoặc v11.0.27 hoặc mới hơn.
• Lên kế hoạch chuyển khỏi dòng v9.0 trước ngày 31/3/2027.