CyStack

27/10/2026

KHUYẾN CÁO BẢO MẬT: Nhầm lẫn nhà cung cấp SAML trên ZITADEL cho phép chiếm tài khoản

Chuyên gia Trung Nguyễn đến từ CyStack đã phát hiện lỗ hổng xác thực trong ZITADEL, nền tảng quản lý danh tính mã nguồn mở với hơn 10.000 sao trên GitHub, cho phép kẻ tấn công chiếm tài khoản của người dùng khác trên cùng hệ thống.

ZITADEL xác minh chữ ký SAML theo nhà cung cấp ghi trong URL callback nhưng xác định người dùng theo nhà cung cấp trong phiên đăng nhập ban đầu mà không kiểm tra hai bên có khớp nhau hay không. Kẻ tấn công đăng ký nhà cung cấp SAML riêng trên cùng instance, rồi dùng chữ ký hợp lệ từ nhà cung cấp đó để xác thực vào tài khoản liên kết với nhà cung cấp khác. Trên các instance cho phép đăng ký tổ chức công khai, kẻ tấn công chưa xác thực cũng có thể chiếm quyền quản trị.

Lỗ hổng ảnh hưởng phiên bản 3.0.0 đến 3.4.15 và 4.0.0 đến 4.19.1. Khuyến nghị quản trị viên nâng cấp lên ZITADEL 4.19.2. Nhánh 3.x đã hết vòng đời hỗ trợ và không có bản vá, cần chuyển sang nhánh 4.x đã vá.

Xem thêm các lỗ hổng khác mà CyStack tìm ra tại: https://cystack.net/vi/disclosures



---
CyStack - Fight against cyber threats
☎️ Hotline: (+84) 247 109 9656
📧 Mail: [email protected]
🌐 Website: https://www.cystack.net
🏢 Address: 317 Truong Chinh, Phuong Liet, Ha Noi

23/10/2026

08/10/2026

KHUYẾN CÁO BẢO MẬT: Lỗ hổng leo thang đặc quyền trên authentik cho phép tài khoản cấp thấp chiếm quyền superuser

Chuyên gia Trung Nguyễn đến từ CyStack đã phát hiện lỗ hổng leo thang đặc quyền trong authentik, nền tảng định danh mã nguồn mở với hơn 25.900 sao trên GitHub, được nhiều tổ chức dùng để triển khai đăng nhập một lần (SSO) cho ứng dụng nội bộ.

Lỗ hổng CVE-2026-94609 nằm ở cách authentik xử lý cây phân cấp nhóm. Trạng thái superuser được kế thừa từ nhóm cấp trên, nên một nhóm có thể trao quyền này dù bản thân không mang quyền đó. Các bước kiểm tra khi thêm thành viên hay sửa cây phân cấp lại bỏ qua quyền kế thừa, còn thao tác gán vai trò cho nhóm không được kiểm tra quyền. Một tài khoản chỉ được giao quản lý một nhóm hoặc một người dùng, chẳng hạn tài khoản helpdesk, vì thế có thể biến bất kỳ tài khoản nào, kể cả chính tài khoản đó, thành superuser.

Lỗ hổng ảnh hưởng các hệ thống giao quyền quản lý nhóm, thành viên nhóm hoặc người dùng cho tài khoản không phải quản trị viên đầy đủ.

Khuyến nghị quản trị viên nâng cấp lên authentik 2026.2.7, 2026.5.7 hoặc 2026.8.2 tùy nhánh đang dùng, hoặc tạm thời chỉ cấp quyền quản lý nhóm và người dùng cho tài khoản quản trị viên đầy đủ.

Xem thêm các lỗ hổng khác mà CyStack tìm ra tại: https://cystack.net/vi/disclosures



---
CyStack - Fight against cyber threats
☎️ Hotline: (+84) 247 109 9656
📧 Mail: [email protected]
🌐 Website: https://www.cystack.net
🏢 Address: 317 Truong Chinh, Phuong Liet, Ha Noi

01/10/2026

KHUYẾN CÁO BẢO MẬT: Lỗ hổng trên Thunderbird cho phép chạy tệp thực thi qua tệp đính kèm lời mời lịch

Chuyên gia Trung Nguyễn đến từ CyStack đã phát hiện lỗ hổng trong cách Mozilla Thunderbird, ứng dụng email mã nguồn mở được nhiều cá nhân và doanh nghiệp sử dụng, xử lý tệp đính kèm của lời mời lịch (calendar invitation).

Lỗ hổng CVE-2026-84637 cho phép một lời mời lịch độc hại dùng tệp đính kèm dạng file URI để chạy tệp thực thi nằm trên máy hoặc trên mạng, vượt qua cơ chế chặn tệp đính kèm thực thi vốn có của Thunderbird. Khi bật giao diện hiển thị lời mời mới, tệp đính kèm còn có thể hiện dưới một tên gây hiểu nhầm, khiến mồi nhử thuyết phục hơn. Kẻ tấn công dụ được nạn nhân mở lời mời có thể chạy chương trình tùy ý trên máy của họ.

Lỗ hổng ảnh hưởng Thunderbird trên Windows và cần nạn nhân mở lời mời lịch do kẻ tấn công gửi tới.

Khuyến nghị người dùng cập nhật lên Thunderbird 153.2 trở lên.

Xem thêm các lỗ hổng khác mà CyStack tìm ra tại: https://cystack.net/vi/disclosures



---
CyStack - Fight against cyber threats
☎️ Hotline: (+84) 247 109 9656
📧 Mail: [email protected]
🌐 Website: https://www.cystack.net
🏢 Address: 317 Truong Chinh, Phuong Liet, Ha Noi

29/09/2026

KHUYẾN CÁO BẢO MẬT: Lỗ hổng Use-After-Free trên Valkey cho phép đánh sập máy chủ và có thể dẫn đến thực thi mã

Các chuyên gia Trung Nguyễn và Phúc Nguyễn đến từ CyStack đã phát hiện lỗ hổng Use-After-Free trong trình gỡ lỗi Lua script của Valkey, cơ sở dữ liệu key-value mã nguồn mở tách ra từ Redis với hơn 27.000 sao trên GitHub, được sử dụng rộng rãi cho cache và các tác vụ thời gian thực.

Lỗ hổng nằm ở cách trình gỡ lỗi lưu sẵn con trỏ tới trình thông dịch Lua mà không bao giờ làm mới. Lệnh SCRIPT FLUSH ASYNC tạo lại engine và giải phóng trình thông dịch cũ, nên lệnh SCRIPT DEBUG kế tiếp truy cập vào vùng nhớ đã bị giải phóng và làm sập máy chủ. Kẻ tấn công chiếm lại vùng nhớ này bằng dữ liệu giả mạo có thể điều khiển luồng thực thi, mở đường chạy mã tùy ý trong tiến trình cơ sở dữ liệu.

Lỗ hổng khai thác được với bất kỳ client nào có quyền chạy lệnh scripting, trong khi nhiều hệ thống Valkey trong mạng nội bộ vẫn chạy mà không bật xác thực.

Khuyến nghị quản trị viên nâng cấp lên Valkey 9.1.2 trở lên, hoặc tạm thời chặn lệnh SCRIPT DEBUG bằng ACL.

Xem thêm các lỗ hổng khác mà CyStack tìm ra tại: https://cystack.net/vi/disclosures



---
CyStack - Fight against cyber threats
☎️ Hotline: (+84) 247 109 9656
📧 Mail: [email protected]
🌐 Website: https://www.cystack.net
🏢 Address: 317 Truong Chinh, Phuong Liet, Ha Noi

23/09/2026

CYSTACK TRÒN 9 TUỔI: CÙNG NHAU NHÌN LẠI CHẶNG ĐƯỜNG "BỨT PHÁ VƯỢT BẬC"

Mừng sinh nhật lần thứ 9, đội ngũ CyStack đã cùng nhau nhìn lại chặng đường 2017 – 2026, từ những ngày đầu còn là một đội ngũ nhỏ đến vị thế hôm nay trong lĩnh vực an ninh mạng.

9 năm qua là 9 năm không ngừng bứt phá. Chúng tôi đã đồng hành cùng rất nhiều khách hàng, đối tác và tổ chức, cùng vượt qua thử thách và bảo vệ họ trước những mối đe dọa trên không gian mạng. Tất cả những điều đó có được nhờ tâm huyết, sự bền bỉ và tinh thần đồng đội của từng thành viên CyStack.

Hôm nay, toàn thể đội ngũ cùng ăn mừng sinh nhật CyStack, vinh danh 9 năm bảo vệ không gian mạng Việt Nam. Chúng tôi cũng đồng lòng viết tiếp những chương mới, với mục tiêu mang lại giá trị và sản phẩm thực chất cho khách hàng và đối tác, và đưa bảo mật đến với tất cả mọi người, từ cá nhân đến các tổ chức lớn.

Chúc mừng sinh nhật CyStack!


---
CyStack - Fight against cyber threats
☎️ Hotline: (+84) 247 109 9656
📧 Mail: [email protected]
🌐 Website: https://www.cystack.net
🏢 Address: 317 Truong Chinh, Phuong Liet, Ha Noi

17/09/2026

KHUYẾN CÁO BẢO MẬT: Lỗ hổng đọc file tùy ý trên Grafana Alloy dẫn đến đánh cắp service account token

Chuyên gia Trung Nguyễn đến từ CyStack đã phát hiện lỗ hổng đọc file tùy ý trong Grafana Alloy, agent thu thập telemetry mã nguồn mở của Grafana Labs, thường được triển khai trong cụm Kubernetes để giám sát toàn bộ hạ tầng.

Lỗ hổng CVE-2026-75889 nằm ở thành phần prometheus.operator.servicemonitors, chuyển tài nguyên ServiceMonitor do người dùng cung cấp thành scrape job và giữ nguyên trường bearerTokenFile, trường trỏ đến một file trên hệ thống của Alloy để lấy nội dung làm bearer token cho mỗi lần scrape. Một tenant có quyền tạo hoặc sửa ServiceMonitor trong namespace được giám sát có thể trỏ trường này đến service account token của Alloy, đồng thời đặt scrape target về máy chủ do kẻ tấn công kiểm soát. Alloy gửi thẳng token của chính mình cho kẻ tấn công, kẻ tấn công từ đó thừa hưởng toàn bộ quyền giám sát cấp cụm của Alloy và có thể đọc bất kỳ file nào khác mà tiến trình Alloy truy cập được theo cách tương tự.

Lỗ hổng khai thác được với người dùng Kubernetes đã có quyền tạo hoặc sửa tài nguyên ServiceMonitor trong namespace mà Alloy theo dõi.

Khuyến nghị quản trị viên nâng cấp lên Grafana Alloy 1.19.0 trở lên.

Xem thêm các lỗ hổng khác mà CyStack tìm ra tại: https://cystack.net/vi/disclosures



---
CyStack - Fight against cyber threats
☎️ Hotline: (+84) 247 109 9656
📧 Mail: [email protected]
🌐 Website: https://www.cystack.net
🏢 Address: 317 Truong Chinh, Phuong Liet, Ha Noi

10/09/2026

KHUYẾN CÁO BẢO MẬT: Lỗ hổng RBAC trên Wazuh Manager làm lộ cluster.key

Chuyên gia Dương Trần đến từ CyStack đã phát hiện lỗ hổng phân quyền (RBAC) trong Wazuh Manager, thành phần trung tâm của Wazuh, nền tảng giám sát an ninh và phát hiện xâm nhập mã nguồn mở được nhiều tổ chức sử dụng để theo dõi log và cảnh báo bảo mật.

Lỗ hổng CVE-2026-61783 nằm trong cách Wazuh Manager kiểm tra quyền trước khi ẩn giá trị nhạy cảm trong cấu hình. Cơ chế che giấu chỉ xét tài khoản có gắn rule RBAC liên quan đến cập nhật cấu hình hay không, mà không phân biệt rule đó cho phép hay từ chối. Một tài khoản có quyền đọc cấu hình và bị gắn thêm rule từ chối quyền cập nhật, khi gọi API lấy cấu hình thô, nhận được cluster.key ở dạng clear thay vì bị ẩn. Cluster.key xác thực giao tiếp giữa các node trong cluster, lộ khóa này có thể mở đường cho kẻ tấn công gia nhập hoặc giả mạo node nếu cổng cluster truy cập được.

Lỗ hổng khai thác được với tài khoản đã xác thực, có quyền đọc cấu hình và có rule RBAC từ chối quyền chỉnh sửa cấu hình, một cấu hình phổ biến cho tài khoản giám sát trong Wazuh.

Khuyến nghị quản trị viên nâng cấp lên Wazuh Manager 4.14.7 hoặc 5.0.0-beta3 trở lên.

Xem thêm các lỗ hổng khác mà CyStack tìm ra tại: https://cystack.net/vi/disclosures



---
CyStack - Fight against cyber threats
☎️ Hotline: (+84) 247 109 9656
📧 Mail: [email protected]
🌐 Website: https://www.cystack.net
🏢 Address: 317 Truong Chinh, Phuong Liet, Ha Noi

03/09/2026

KHUYẾN CÁO BẢO MẬT: Lỗ hổng đọc file tùy ý trên Vault Secrets Operator cho phép đánh cắp thông tin xác thực

Chuyên gia Trung Nguyễn đến từ CyStack đã phát hiện lỗ hổng đọc file tùy ý trong Vault Secrets Operator của HashiCorp, Kubernetes operator dùng để đồng bộ secret từ Vault vào Kubernetes Secrets, được nhiều doanh nghiệp triển khai trong hạ tầng cloud-native multi tenant.

Lỗ hổng CVE-2026-8715 nằm trong trường cấu hình secretIDPath, dùng để trỏ đến file chứa Secret ID xác thực AppRole. Vault Secrets Operator chỉ kiểm tra đường dẫn không chứa ký tự path traversal và file nằm trong giới hạn dung lượng, nhưng không giới hạn file nào được phép trỏ tới. Một tenant trỏ trường này đến file nhạy cảm trên pod operator, kết hợp với một địa chỉ máy chủ do kẻ tấn công kiểm soát, có thể khiến operator gửi thẳng nội dung file, bao gồm cả thông tin xác thực của chính operator, ra bên ngoài.

Lỗ hổng khai thác được với người dùng Kubernetes đã có quyền tạo tài nguyên VaultAuth, VaultConnection và VaultStaticSecret trong namespace của họ.

Khuyến nghị quản trị viên nâng cấp lên Vault Secrets Operator 1.5.0 trở lên, đồng thời chuyển cấu hình sang trường secretRef.

Xem thêm các lỗ hổng khác mà CyStack tìm ra tại: https://cystack.net/vi/disclosures



---
CyStack - Fight against cyber threats
☎️ Hotline: (+84) 247 109 9656
📧 Mail: [email protected]
🌐 Website: https://www.cystack.net
🏢 Address: 317 Truong Chinh, Phuong Liet, Ha Noi