Vào đầu tháng 10 năm 2020, Zoho - tập đoàn công nghệ phát triển phần mềm hàng đầu thế giới đã công bố một lỗ hổng vô cùng nguy hiểm trên MEAM (ManageEngine Application Manager) – phần mềm giám sát máy chủ và ứng dụng. Lỗ hổng nghiêm trọng này được phát hiện có mức độ nguy hiểm gần như tuyệt đối 9.8/10 (đánh giá theo Viện Tiêu chuẩn và Kỹ thuật quốc gia NIST) và được gắn mã định danh là CVE-2020-15394.
Điều đặc biệt, người phát hiện ra lỗ hổng này là anh Giang Tuấn Anh - một kỹ sư bảo mật người Việt hiện đang công tác tại công ty cổ phần an ninh mạng Việt Nam (VSEC) - anh đã được Zoho vinh danh trên website tìm kiếm Bug Bounty của hãng.
Lỗ hổng này cho phép hacker thực thi các câu lệnh SQL tùy ý mà không cần xác thực và lợi dụng một số "chức năng" của Postgresql để thực thi lệnh hệ điều hành trái phép trên máy chủ, dẫn tới việc hacker chiếm quyền điều khiển cao nhất với máy chủ (bao gồm quyền system trên windows và quyền root trên linux).
Do có nhiệm vụ giám sát nên phần mềm ManageEngine Application Manager (MEAM) chứa rất nhiều dữ liệu nhạy cảm như thông tin đăng nhập của các thiết bị được giám sát, SSH key,.. do đó khi chiếm quyền đc MEAM, hacker hoàn toàn có thể chiếm quyền điều khiển các thiết bị, máy chủ khác trong mạng.
Theo anh Giang Tuấn Anh chia sẻ: "Do tính chất phức tạp của MEAM nên việc debug tốn rất nhiều thời gian, nhất là phần tìm cách bỏ qua xác thực, nhưng cuối cùng tôi cũng tìm được và xâu chuỗi các lỗ hổng riêng lẻ thành lỗ hổng có tác động cao".
MEAM là một trong những phần mềm giám sát máy chủ và ứng dụng phổ biến nhất trên thế giới. Tại Việt Nam, nhiều ngân hàng và hơn 500 khách hàng là doanh nghiệp vừa và lớn đang sử dụng phần mềm này. Việc phát hiện ra lỗi này sẽ giúp hàng nghìn doanh nghiệp đang sử dụng phần mềm tránh khỏi nguy cơ bị tấn công và đánh cắp dữ liệu. Zoho cũng cho biết họ đã tiến hành vá lỗ hổng trong phiên bản 14750 trở lên.
Anh Giang Tuấn Anh là một trong số ít các kỹ sư bảo mật Việt Nam sở hữu 3 chứng chỉ quốc tế về An toàn thông tin uy tín hàng đầu thế giới là OSCE, OSCP, OSWE.
Nguồn: Genk.vn
Quận 7 - Kỹ sư phát triển phần mềm
CÔNG TY TNHH POLYTEX FAR EASTERN (VIỆT NAM)
Địa điểm: Hồ Chí Minh
Lương: Cạnh Tranh
Business Analysis Intern / Thực tập sinh Phân tích Doanh nghiệp
Công ty TNHH Giải pháp Data V Tech
Địa điểm: Hồ Chí Minh
Lương: Cạnh Tranh
Nhân Viên Kinh Doanh Phần Mềm - UP TO 50Mil/Month
Địa điểm: Hồ Chí Minh, Hà Nội
Lương: 10 Tr - 50 Tr VND
[TUYỂN GẤP]_CHUYÊN VIÊN PHẦN MỀM/ IT software developer (Lâm Đồng)
Địa điểm: Lâm Đồng
Lương: Cạnh Tranh
Automation Tester - TT PTUD - Ngân hàng số
Ngân hàng TMCP Phát triển TP.HCM (HDBank)
Địa điểm: Hồ Chí Minh
Lương: 18 Tr - 25 Tr VND
Chuyên viên kinh doanh B2B - Tiếng Hàn
Công Ty TNHH Korea Rental Vina
Địa điểm: Hà Nội, Hồ Chí Minh
Lương: 20 Tr - 25 Tr VND
Junior/ Middle QC Engineer (Manual)
CÔNG TY CỔ PHẦN HASAKI BEAUTY & CLINIC
Địa điểm: Hồ Chí Minh
Lương: 15 Tr - 20 Tr VND
Thực tập sinh Kinh doanh - Business Development Intern
Địa điểm: Hà Nội
Lương: 3 Tr - 3 Tr VND
CÔNG TY TNHH CUNG ỨNG NHÂN LỰC NHÂN KIỆT
Địa điểm: Bình Dương
Lương: 7,5 Tr - 20 Tr VND
Chuyên Viên Kinh Doanh Phần Mềm - Tiếng Nhật
Địa điểm: Hồ Chí Minh
Lương: 30 Tr - 50 Tr VND