OpenWrt đã phát hành phiên bản 24.10.8 để khắc phục một lỗ hổng nghiêm trọng trong thành phần DHCPv6, cùng một nhóm lỗi có thể bị kích hoạt từ xa trong các dịch vụ mạng thường được bật theo mặc định. Sự cố nổi bật nhất được theo dõi là CVE-2026-53921, có điểm CVSS 9.8 và ảnh hưởng trực tiếp tới odhcpd, thành phần xử lý DHCP/DHCPv6 trên nhiều thiết bị dùng OpenWrt.
Theo The Hacker News và thông tin advisory được nhắc tới từ dự án OpenWrt, lỗ hổng cho phép kẻ tấn công chưa xác thực, nếu có thể gửi gói tin tới máy chủ DHCPv6, ghi đè bộ đệm trên stack bằng một gói DHCPv6 được tạo đặc biệt. Trong kịch bản xấu, điều này có thể dẫn tới thực thi mã với quyền root trên thiết bị mạng.
Vì sao lỗi DHCPv6 trên router cần được ưu tiên vá
DHCPv6 là cơ chế cấp phát cấu hình mạng cho môi trường IPv6. Trên thiết bị router, firewall nhỏ, gateway văn phòng hoặc thiết bị nhúng, dịch vụ này thường hoạt động ở lớp rất gần mạng nội bộ. Khi lỗi nằm ở thành phần xử lý gói tin, rủi ro không chỉ là gián đoạn dịch vụ mà còn là khả năng chiếm quyền điều khiển thiết bị.
Điểm đáng chú ý của CVE-2026-53921 là attacker không cần tài khoản đăng nhập vào giao diện quản trị. Điều kiện quan trọng là khả năng tiếp cận dịch vụ DHCPv6 dễ bị ảnh hưởng. Vì vậy, các hệ thống để lộ dịch vụ không cần thiết, cấu hình mạng phẳng hoặc thiếu phân tách giữa vùng người dùng và vùng quản trị sẽ có mức rủi ro cao hơn.
OpenWrt 24.10.8 khắc phục nhiều lỗi từ xa
Bản vá 24.10.8 không chỉ xử lý CVE-2026-53921 mà còn đóng một loạt lỗ hổng có thể bị kích hoạt từ xa trong các dịch vụ mạng khác. Điều này cho thấy bản cập nhật nên được xem là một đợt vá an toàn hệ thống, không chỉ là bản sửa riêng cho DHCPv6.
Với người dùng gia đình, thiết bị OpenWrt thường giữ vai trò router chính, bộ phát Wi-Fi hoặc gateway cho camera, NAS và thiết bị IoT. Với doanh nghiệp nhỏ, OpenWrt có thể nằm ở chi nhánh, phòng lab hoặc hệ thống mạng phụ trợ. Nếu thiết bị bị chiếm quyền, attacker có thể thay đổi DNS, chuyển hướng lưu lượng, thu thập thông tin mạng nội bộ hoặc dùng thiết bị làm bàn đạp tấn công.
Khuyến nghị xử lý
Quản trị viên nên kiểm tra ngay phiên bản OpenWrt đang vận hành và lên kế hoạch nâng cấp lên 24.10.8 hoặc bản mới hơn nếu đã có. Trước khi nâng cấp, cần sao lưu cấu hình, kiểm tra gói tùy biến đang dùng và chuẩn bị phương án rollback phù hợp với thiết bị.
Trong thời gian chờ vá, nên rà soát phạm vi lắng nghe của dịch vụ DHCPv6, hạn chế truy cập từ các mạng không cần thiết, tách vùng quản trị khỏi vùng người dùng và đảm bảo giao diện quản trị không bị phơi ra internet. Các thiết bị biên cũng nên được giám sát log bất thường, đặc biệt là dấu hiệu reboot lạ, thay đổi DNS, rule firewall hoặc tiến trình không rõ nguồn gốc.
Bài học cho vận hành hạ tầng nhỏ
Sự cố OpenWrt nhắc lại một thực tế quen thuộc: thiết bị mạng nhỏ không đồng nghĩa với rủi ro nhỏ. Router và gateway thường chạy liên tục, ít được kiểm tra định kỳ và nằm ở vị trí có quyền quan sát lưu lượng rất lớn. Một lỗ hổng trong dịch vụ nền tảng như DHCPv6 có thể tạo ra tác động vượt xa phạm vi của một thiết bị đơn lẻ.
Với các tổ chức dùng firmware mã nguồn mở, quy trình quản lý bản vá cần bao gồm cả thiết bị mạng, không chỉ máy chủ và máy trạm. Kiểm kê phiên bản, lịch vá định kỳ và phân vùng mạng hợp lý vẫn là các biện pháp thực tế nhất để giảm thiểu rủi ro từ những lỗ hổng kiểu này.
VNCyberS tổng hợp từ The Hacker News và OpenWrt
Tiếng Việt
English