NGINX phát hành bản vá khẩn cấp cho 5 lỗ hổng: Nguy cơ RCE và bỏ qua kiểm tra Client Certificate

Chuyện gì vừa xảy ra

Tổ chức phát triển NGINX (F5) vừa công bố thông cáo an ninh mạng và phát hành bản cập nhật cho NGINX Open Source cũng như NGINX Plus để vá 5 lỗ hổng bảo mật riêng biệt. Đáng chú ý nhất trong số này là một lỗi tràn bộ đệm có thể dẫn đến thực thi mã từ xa (Remote Code Execution - RCE) khi xử lý các HTTP request độc hại, và một lỗi logic nghiêm trọng trong module xử lý TLS.

Lỗi TLS cho phép kẻ tấn công thiết lập kết nối thành công và vượt qua bước kiểm tra xác thực chứng chỉ khách hàng (Mutual TLS - mTLS / Client Certificate Verification) trong một số điều kiện cấu hình cụ thể.

Ai cần chú ý và phạm vi ảnh hưởng

Thông báo này tác động sâu rộng đến:

Tất cả quản trị viên hệ thống (SysAdmin/DevOps) đang dùng NGINX làm Reverse Proxy, API Gateway, Load Balancer hoặc Web Server.
Hệ thống Kubernetes Ingress: Các Ingress Controller phổ biến như ingress-nginx sử dụng NGINX làm lõi reverse proxy.
Kiến trúc Zero Trust / mTLS: Các hệ thống phân tán và vi dịch vụ (microservices) dựa vào Client Certificate để phân quyền truy cập nội bộ.

Nếu hệ thống của bạn sử dụng xác thực mTLS để bảo vệ API nhạy cảm, kẻ tấn công có thể lợi dụng lỗi này để gửi request trực tiếp vào backend mà không cần sở hữu chứng chỉ hợp lệ.

Tác động vận hành

Vô hiệu hóa phòng tuyến mTLS: Rủi ro các endpoint quản trị hoặc backend microservices bị truy cập trái phép.
Khả năng bị DoS hoặc chiếm quyền kiểm soát tiến trình worker: Với lỗi RCE/Buffer Overflow, kẻ tấn công có thể làm sập tiến trình worker của NGINX liên tục hoặc leo thang đặc quyền trên máy chủ web.
Quy trình cập nhật thuận tiện: Hầu hết các bản phân phối Linux và repository chính thức của NGINX đã có gói binary sẵn sàng, việc nâng cấp có thể thực hiện với downtime gần như bằng không thông qua cơ chế reload/binary upgrade của NGINX.

Điểm sysadmin cần theo dõi và hành động ngay

Kiểm tra cấu hình TLS: Rà soát các file cấu hình NGINX có chứa chỉ thị ssl_verify_client on hoặc ssl_verify_client optional.
Cập nhật gói phần mềm: Chạy apt update && apt install nginx hoặc dnf upgrade nginx để kéo về bản vá mới nhất từ repo chính thức.
Thực hiện Graceful Reload: Sau khi cập nhật binary, chạy lệnh nginx -t kiểm tra cú pháp và thực hiện nâng cấp mượt mà không rớt kết nối (kill -USR2 <pid>).

Kết luận

NGINX là thành phần hạ tầng cốt cán của hàng triệu website và hệ thống cloud. Việc vá lỗi kịp thời là bước bắt buộc để duy trì tính toàn vẹn của hệ thống phòng thủ biên giới mạng.