Lỗ hổng vượt qua xác thực trong thư viện Bouncy Castle đã được vá

Ra đời vào năm 2000, Bouncy Castle là một bộ sưu tập các API được sử dụng trong cả Java và C# với mục đích đảm bảo việc tuân thủ các chuẩn và tính tương thích.

Các nhà nghiên cứu bảo mật của CyRC mới tiết lộ rằng một lỗ hổng xác thực mà họ đã phát hiện được trong lớp OpenBSDBcrypt của thư viện mã hóa trong Java có thể bị lợi dụng để vượt qua việc kiểm tra mật khẩu trong các ứng dụng dựa trên thư viện này. Lỗ hổng có số hiệu là CVE-2020-28052, có điểm số CVSS là 8,1.

Lớp OpenBSDBcrypt sử dụng thuật toán Bcrypt để băm các mật khẩu, các nhà nghiên cứu giải thích rằng lỗi này bắt nguồn từ sai sót của quy trình triển khai phương thức OpenBSDBcrypt.doCheckPassword.

Synopsys CyRC cho biết: "Mã chỉ kiểm tra vị trí của các ký tự tự 0 đến 59 mà không kiểm tra các giá trị từ 0 đến 59". Điều này nghĩa là một kẻ tấn công có thể vượt qua việc kiểm tra ngay cả khi chúng không thể khớp từng byte với giá trị băm được lưu trữ. Việc khai thác thành công lỗ hổng có thể dẫn đến vượt qua xác thực, cho phép tin tặc thực hiện các hoạt động như một người dùng hợp pháp, bao gồm cả hoạt động của các quản trị viên.

Theo các nhà nghiên cứu bảo mật, kẻ tấn công cần phải thực hiện các nỗ lực tấn công brute-force trên các mật khẩu trước khi kích hoạt.

Các nhà nghiên cứu cho biết: "Những thử nghiệm của chúng tôi cho thấy 20% mật khẩu được thử nghiệm đã vượt thành công trong tổng số 1.000 lần thử. Hơn nữa, cuộc điều tra của chúng tôi cho thấy tất cả các hàm băm mật khẩu đều có thể bị bỏ qua với đủ các lần thử. Trong một số trường hợp hiếm hoi, một số hàm băm mật khẩu có thể bị bỏ qua với mọi giá trị đầu vào".

Vấn đề được phát hiện ảnh hưởng tới các phiên bản Bouncy Castle 1.65 và 1.66, nhưng không ảnh hưởng tới những phiên bản trước đó. Bouncy Castle 1.67 được phát hành vào ngày 1/11/2020 để vá lỗ hổng bảo mật này.

Cả nhà cung cấp và người dùng phần mềm sử dụng thư viện này đều được khuyến cáo nên nâng cấp lên phiên bản Bouncy Castle Java 1.67 trở lên để đảm bảo an toàn khi sử dụng.