Hủy
Đối tác
Thông tin

Các lỗ hổng bảo mật được công bố và sự kiện an ninh mạng đáng chú ý trong tháng 12

Các lỗ hổng bảo mật được công bố và sự kiện an ninh mạng đáng chú ý trong tháng 12

Tác giả: FPT Cloud
13:29 07/01/2026
Theo dõi trên

I. Các lỗ hổng bảo mật được công bố trong tháng 12

1. Microsoft 

Microsoft phát hành bản vá Patch Tuesday tháng 12/2025 khắc phục tổng cộng 57 lỗ hổng bảo mật, bao gồm 1 lỗ hổng zero-day đang bị khai thác tích cực và 2 lỗ hổng zero-day đã được công bố công khai.  

Bản cập nhật lần này cũng xử lý 3 lỗ hổng thực thi mã từ xa (Remote Code Execution - RCE) được đánh giá ở mức Nghiêm trọng (Critical).  

Số lượng lỗ hổng theo từng loại chi tiết như sau:  

  • 28 lỗ hổng leo thang đặc quyền (Elevation of Privilege)  
  • 19 lỗ hổng thực thi mã từ xa (Remote Code Execution)  
  • 4 lỗ hổng rò rỉ thông tin (Information Disclosure)  
  • 3 lỗ hổng từ chối dịch vụ (Denial of Service)  
  • 2 lỗ hổng giả mạo (Spoofing) 

a. Lỗ hổngzero-day đang bị khai thác tích cực  

CVE-2025-62221 - Lỗ hổng leo thang đặc quyền trong Windows Cloud Files Mini Filter Driver  

Một lỗ hổng leo thang đặc quyền (Elevation of Privilege) đang bị khai thác trong thành phần Windows Cloud Files Mini Filter Driver đã được khắc phục. Lỗi use-after-free trong driver này cho phép tác nhân tấn công đã được xác thực thực hiện leo thang đặc quyền cục bộ.  

Việc khai thác thành công lỗ hổng cho phép giành quyền SYSTEM, mức đặc quyền cao nhất trên hệ điều hành Windows.  

b. Các lỗ hổngzero-day đã được công bố công khai  

CVE-2025-64671 - Lỗ hổng thực thi mã trong GitHub Copilot for JetBrains  

Một lỗ hổng đã được công bố công khai trong GitHub Copilot for JetBrains cho phép thực thi lệnh cục bộ. Lỗi phát sinh do xử lý không đúng các phần tử đặc biệt trong lệnh (command injection), cho phép tác nhân tấn công không được ủy quyền thực thi mã cục bộ.  

Lỗ hổng có thể bị khai thác thông qua Cross Prompt Injection trong các tệp không đáng tin cậy hoặc máy chủ MCP. Thông qua Cross Prompt Injection độc hại, các lệnh bổ sung có thể được chèn vào những lệnh đã được cho phép trong cấu hình terminal auto-approve của người dùng.  

CVE-2025-54100 - Lỗ hổng thực thi mã trong PowerShell  

Một lỗ hổng trong Windows PowerShell cho phép thực thi mã cục bộ khi một trang web chứa script nhúng được truy xuất bằng lệnh Invoke-WebRequest. Lỗi thuộc nhóm command injection, cho phép thực thi mã trái phép thông qua việc xử lý không an toàn các phần tử đặc biệt trong lệnh.  

Biện pháp giảm thiểu đã được triển khai bằng cách hiển thị cảnh báo khi sử dụng Invoke-WebRequest và yêu cầu bổ sung tham số -UseBasicParsing nhằm ngăn chặn việc thực thi mã ngoài ý muốn.  

Các bản cập nhật gần đây từ các công ty khác  

  • Adobe đã phát hành các bản cập nhật bảo mật cho nhiều sản phẩm, bao gồm ColdFusion, Experience Manager, DNG SDK, Acrobat Reader và Creative Cloud Desktop.  
  • Fortinet đã phát hành các bản vá bảo mật cho nhiều sản phẩm, trong đó có một lỗ hổng nghiêm trọng cho phép vượt qua cơ chế xác thực FortiCloud SSO (Authentication Bypass).  
  • Google đã công bố bản tin bảo mật Android tháng 12, bao gồm các bản vá cho hai lỗ hổng đang bị khai thác tích cực.  
  • Ivanti đã phát hành các bản vá bảo mật trong khuôn khổ Patch Tuesday tháng 12/2025, bao gồm bản vá cho lỗ hổng Stored XSS có điểm CVSS 9.6/10 trong Ivanti Endpoint Manager.  
  • React đã phát hành bản cập nhật bảo mật cho lỗ hổng thực thi mã từ xa (RCE) ở mức nghiêm trọng trong React Server Components. Lỗ hổng này, được đặt tên là React2Shell, hiện đang bị khai thác rộng rãi trong các cuộc tấn công thực tế.  
  • SAP đã phát hành bản cập nhật bảo mật tháng 12 cho nhiều sản phẩm, bao gồm bản vá cho lỗ hổng code injection có điểm CVSS 9.9/10 trong SAP Solution Manager.  

Dưới đây là danh sách đầy đủ các lỗ hổng đã được giải quyết trong các bản cập nhật Patch Tuesday tháng 12 năm 2025  

Tag   CVE ID   CVE Title   Severity  
Microsoft Office   CVE-2025-62554   Microsoft Office Remote Code Execution Vulnerability   Critical  
Microsoft Office   CVE-2025-62557   Microsoft Office Remote Code Execution Vulnerability   Critical  
Microsoft Office Outlook   CVE-2025-62562   Microsoft Outlook Remote Code Execution Vulnerability   Critical  

Chi tiết về từng loại lỗ hổng và bản vá có thể xem thêm tại Tuesday Patch, paper.   

2. Linux 

CVE   Mô tả lỗ hổng  
CVE-2025-68322   Trong nhân Linux, lỗ hổng sau đã được khắc phục: parisc: Tránh tình trạng crash do truy cập không căn chỉnh trong unwinder. Guenter Roeck đã báo cáo lỗi crash kernel này trên máy B160L được mô phỏng của mình, với thông tin như sau: Starting network: udhcpc: started, v1.36.1, kèm theo backtrace gồm các hàm unwind_once, walk_stackframe.isra.0, arch_stack_walk, stack_trace_save, set_track_prepare, ___slab_alloc, __slab_alloc.isra.0, kmem_cache_alloc_noprof, __anon_vma_prepare, __vmf_anon_prepare, do_wp_page, handle_mm_fault, do_page_fault, handle_interruption, và schedule, sau đó xuất hiện lỗi BUG: spinlock recursion on CPU#0, ifconfig/2420, với khóa terminate_lock.2, giá trị .magic: dead4ead, chủ sở hữu ifconfig/2420 và .owner_cpu: 0. Trong quá trình tạo stack trace, unwinder sử dụng stack pointer để suy đoán frame trước đó và đọc stack pointer của frame trước từ bộ nhớ; sự cố xảy ra vì unwinder cố gắng đọc từ vùng nhớ không được căn chỉnh, từ đó kích hoạt unalignment trap handler, dẫn đến hiện tượng spinlock recursion và cuối cùng gây ra deadlock. Lỗi được khắc phục bằng cách kiểm tra căn chỉnh trước khi truy cập bộ nhớ.  
CVE-2025-33225   NVIDIA Resiliency Extension for Linux tồn tại một lỗ hổng trong cơ chế tổng hợp log, trong đó kẻ tấn công có thể tạo ra tên tệp log có thể dự đoán trước. Việc khai thác thành công lỗ hổng này có thể dẫn đến leo thang đặc quyền, thực thi mã, từ chối dịch vụ, rò rỉ thông tin và can thiệp/sửa đổi dữ liệu.  
CVE-2025-68146   filelock là một cơ chế khóa tệp độc lập nền tảng dành cho Python. Trong các phiên bản trước 3.20.1, tồn tại một lỗ hổng Time-of-Check-Time-of-Use (TOCTOU) cho phép kẻ tấn công cục bộ làm hỏng hoặc cắt ngắn (truncate) các tệp người dùng tùy ý thông qua tấn công symlink. Lỗ hổng xuất hiện trong quá trình tạo tệp khóa trên cả Unix và Windows, khi filelock kiểm tra sự tồn tại của tệp trước khi mở tệp với cờ O_TRUNC. Kẻ tấn công có thể tạo một symlink trỏ tới tệp mục tiêu trong khoảng thời gian giữa bước kiểm tra và bước mở tệp, khiến os.open() theo symlink và cắt ngắn tệp đích. Tất cả người dùng filelock trên Unix, Linux, macOS và Windows đều bị ảnh hưởng, đồng thời lỗ hổng này lan truyền sang các thư viện phụ thuộc. Cuộc tấn công yêu cầu quyền truy cập hệ thống tệp cục bộ và khả năng tạo symlink (quyền người dùng tiêu chuẩn trên Unix; Developer Mode trên Windows 10 trở lên). Việc khai thác thường thành công trong 1–3 lần thử khi đường dẫn tệp khóa có thể dự đoán. Lỗ hổng đã được khắc phục trong phiên bản 3.20.1. Trong trường hợp chưa thể nâng cấp ngay, có thể áp dụng biện pháp giảm thiểu tạm thời như sử dụng SoftFileLock thay cho UnixFileLock/WindowsFileLock (lưu ý: cơ chế khóa khác nhau và có thể không phù hợp với mọi trường hợp), đảm bảo thư mục chứa tệp khóa có quyền hạn chặt chẽ (chmod 0700) để ngăn người dùng không đáng tin tạo symlink, và/hoặc giám sát các thư mục tệp khóa để phát hiện symlink bất thường trước khi chạy ứng dụng tin cậy; tuy nhiên, các biện pháp này chỉ giảm thiểu một phần, điều kiện race vẫn có thể bị khai thác. Khuyến nghị mạnh mẽ nâng cấp lên phiên bản 3.20.1.  
CVE-2025-68323   Trong nhân Linux, lỗ hổng sau đã được khắc phục: usb: typec: ucsi: khắc phục lỗi use-after-free do uec->work gây ra. Công việc trì hoãn uec->work được lên lịch trong hàm gaokun_ucsi_probe() nhưng không bao giờ được hủy đúng cách trong gaokun_ucsi_remove(), từ đó tạo ra các kịch bản use-after-free khi các cấu trúc ucsi và gaokun_ucsi bị giải phóng sau khi ucsi_destroy() hoàn tất, trong khi gaokun_ucsi_register_worker() có thể đang thực thi hoặc vẫn còn chờ trong hàng đợi công việc; khi đó, các cấu trúc gaokun_ucsi hoặc ucsi đã bị giải phóng vẫn có thể bị truy cập. Ngoài ra, cửa sổ race condition là 3 giây, đủ dài để khiến lỗi này dễ dàng tái tạo. Dưới đây là trace được KASAN ghi nhận, cho thấy lỗi BUG: KASAN: slab-use-after-free trong __run_timers, với ghi nhận thao tác ghi kích thước 8 byte vào vùng nhớ đã bị giải phóng, kèm theo call trace, thông tin cấp phát và giải phóng bộ nhớ, xác định địa chỉ lỗi thuộc về đối tượng trong cache kmalloc-512 đã bị giải phóng, nằm lệch 200 byte bên trong vùng 512 byte, cùng trạng thái trang bộ nhớ chi tiết; trang được dump do KASAN phát hiện truy cập bộ nhớ không hợp lệ.  

Chi tiết về các lỗ hổng có thể xem tại Advisories. 

II. Một số sự kiện an ninh mạng đáng chú ý

1. Hai tiện ích mở rộngChromebị phát hiện bí mật đánh cắp thông tin đăng nhập từ hơn 170 website  

Các nhà nghiên cứu an ninh mạng đã phát hiện hai tiện ích mở rộng độc hại trên Google Chrome, có cùng tên và do cùng một nhà phát triển phát hành, được thiết kế để chặn lưu lượng mạng và đánh cắp thông tin xác thực người dùng.  

Các tiện ích này được quảng bá là “plugin kiểm tra tốc độ mạng đa vị trí” dành cho lập trình viên và nhân sự thương mại quốc tế.   

Thông tin chi tiết như sau:  

  • Phantom Shuttle (ID: fbfldogmkadejddihifklefknmikncaj) – 2.000 người dùng (phát hành ngày 26/11/2017)  
  • Phantom Shuttle (ID: ocpcmfmiidofonkbodpdhgddhlcmcofd) – 180 người dùng (phát hành ngày 27/04/2023)  

Cơ chế tấn công và đánh cắp dữ liệu: 

Sau khi người dùng thanh toán, họ được cấp trạng thái VIP và tiện ích tự động kích hoạt chế độ proxy “smarty”, cho phép định tuyến lưu lượng truy cập của hơn 170 domain mục tiêu thông qua hạ tầng C2 của kẻ tấn công.  

Điểm nguy hiểm là các tiện ích này vẫn hoạt động đúng như quảng cáo, nhằm tạo cảm giác hợp pháp khi thực hiện kiểm tra độ trễ (latency) của proxy và hiển thị trạng thái kết nối bình thường. 

Trong khi đó, mục tiêu thực sự của chúng là chặn lưu lượng mạng và đánh cắp thông tin xác thực mà người dùng hoàn toàn không hay biết.  

Hành vi độc hại được triển khai thông qua việc chỉnh sửa mã độc được chèn vào hai thư viện JavaScript đi kèm tiện ích jquery-1.12.2.min.js và scripts.js. 

Đoạn mã này đăng ký một listener trên chrome.webRequest.onAuthRequired để tự động tiêm cặp thông tin xác thực proxy được mã hóa cứng (topfany / 963852wei) vào mọi yêu cầu xác thực HTTP.  

Ba chế độ proxy và danh sách domain nhạy cảm: 

Sau khi xác thực proxy thành công, tiện ích cấu hình Chrome sử dụng Proxy Auto-Configuration (PAC) với ba chế độ:  

  • close: Tắt proxy  
  • always: Định tuyến toàn bộ lưu lượng web qua proxy  
  • smarty: Chỉ định tuyến một danh sách cố định gồm hơn 170 domain giá trị cao  

Danh sách này bao gồm:  

  • Nền tảng lập trình: GitHub, Stack Overflow, Docker  
  • Dịch vụ đám mây: AWS, DigitalOcean, Microsoft Azure  
  • Giải pháp doanh nghiệp: Cisco, IBM, VMware  
  • Mạng xã hội: Facebook, Instagram, Twitter  
  • Website người lớn  

Đánh cắp dữ liệu liên tục và ở quy mô lớn:  

Hệ quả là toàn bộ lưu lượng web của người dùng bị chuyển qua proxy do kẻ tấn công kiểm soát, trong khi tiện ích duy trì heartbeat 60 giây tới máy chủ C2 tại domain phantomshuttle[.]space (hiện vẫn đang hoạt động).  

Điều này cho phép kẻ tấn công nắm vị trí Man-in-the-Middle, thu thập lưu lượng theo thời gian thực, thao túng phản hồi và chèn payload tùy ý. 

Nghiêm trọng hơn, mỗi 5 phút, tiện ích gửi một HTTP GET request về máy chủ bên ngoài, chứa email người dùng VIP, mật khẩu (dạng plaintext) và phiên bản tiện ích. 

Rủi ro chuỗi cung ứng và khuyến nghị: 

Tiện ích này có khả năng thu thập mật khẩu, số thẻ tín dụng, cookie xác thực, lịch sử duyệt web, dữ liệu form, API key và access token. 

Đặc biệt, việc đánh cắp bí mật của lập trình viên có thể mở đường cho các cuộc tấn công chuỗi cung ứng (supply chain attacks).  

Hiện vẫn chưa xác định được danh tính tác giả đứng sau chiến dịch kéo dài suốt 8 năm này. Tuy nhiên, các dấu hiệu như mô tả tiện ích bằng tiếng Trung, tích hợp thanh toán qua Alipay và WeChat Pay, sử dụng Alibaba Cloud để lưu trữ C2 cho thấy khả năng cao đây là một chiến dịch có nguồn gốc từ Trung Quốc.  

FPT Cloud khuyến nghị người dùng cần gỡ bỏ ngay các tiện ích nêu trên nếu đã cài đặt. Trong khi đó, đội ngũ an ninh nên triển khai allowlist tiện ích mở rộng, giám sát các tiện ích có cơ chế thu phí + quyền proxy và theo dõi lưu lượng mạng bất thường liên quan đến xác thực proxy. 

Đứng trước những cuộc tấn công mạng ngày càng tinh vi và nguy hiểm như hiện nay, FPT Cloud khuyến cáo người dùng nên chủ động cập nhật phần mềm, tiến hành ứng dụng các biện pháp bảo mật dữ liệu tiên tiến giúp sao lưu và khôi phục dữ liệu tức thời, an toàn và toàn vẹn.   

Tìm hiểu thêm thông tin chi tiết về dịch vụ sao lưu dữ liệu của FPT Cloud.     

Liên hệ với chúng tôi để được tư vấn về dịch vụ của FPT Cloud 

Có thể bạn quan tâm

01.
Xu hướng phát triển của Ransomware và những hệ quả đối với doanh nghiệp
02.
VDI và RDS – Giải pháp nào phù hợp cho doanh nghiệp của bạn
03.
VDI có thể bảo vệ dữ liệu doanh nghiệp khỏi các rủi ro bảo mật?
04.
VDI – Giải pháp bứt phá cho các tổ chức tài chính, ngân hàng
Xem thêm >
block right

Có thể bạn quan tâm

Xu hướng phát triển của Ransomware và những hệ quả đối với doanh nghiệp
10:10 20/08/2024
VDI và RDS – Giải pháp nào phù hợp cho doanh nghiệp của bạn
14:58 11/09/2021
VDI có thể bảo vệ dữ liệu doanh nghiệp khỏi các rủi ro bảo mật?
17:06 25/08/2021
VDI – Giải pháp bứt phá cho các tổ chức tài chính, ngân hàng
10:39 28/09/2021