Lỗ hổng nghiêm trọng của máy chủ FTP Wing (CVE-2025-47812) đang bị khai thác ngoài thực tế.

[nguyentandatvnpro]

Bản chất của lỗ hổng

• CVE-2025-47812 là lỗ hổng Remote Code Execution (RCE) nghiêm trọng trên Wing FTP Server (phiên bản trước 7.4.4). Lỗ hổng này xuất phát từ những sai lầm trong xử lý đầu vào (input handling) - Null-byte injection/truncation và thực thi dữ liệu không an toàn.
• Wing FTP sử dụng Lua để xử lý/khởi tạo session hoặc có cơ chế đọc/load nội dung session như script. Khi server đọc file session đó, nếu nội dung chứa mã Lua thì mã sẽ bị thực thi trong ngữ cảnh của tiến trình dịch vụ.
• Kẻ tấn công có thể lép vào vòng kiểm tra nhưng vẫn lưu được dữ liệu độc hại vào nơi mà server sau này đọc lại. Vì dữ liệu do attacker kiểm soát đã được ghi vào file session (do bước 1), attacker có thể chèn mã Lua độc hại và khiến server thực thi mã đó, dẫn tới RCE.

Chuỗi tấn công

• Recon (trinh sát): Kẻ tấn công quét mạng/Internet để tìm các instance Wing FTP có phiên bản dễ tổn thương (<7.4.4) và các endpoint tiếp nhận input (web admin, FTP, SFTP...).
• Delivery (gửi input độc hại): Gửi một request chứa chuỗi được chế tạo đặc biệt tới endpoint mục tiêu (username/param hoặc nơi server có thể ghi session).
• Bypass validation: Do cách server xử lý chuỗi, bước kiểm tra/so sánh bị bỏ sót/bypass nên request “qua được” tầng xác thực/validate.
• Session poisoning (chèn vào trạng thái/session): Dữ liệu do attacker gửi bị ghi vào file session / nơi lưu trạng thái của Wing FTP. File/session giờ chứa dữ liệu do attacker kiểm soát.
• Trigger (server đọc/load session): Vòng đời bình thường của server khiến nó đọc/deserialize/load file session đó. Vì cơ chế cũ có thể xử lý nội dung như script, dữ liệu này trở thành code có thể thực thi.
• Execution (thực thi mã): Nội dung do attacker chèn được thực thi trong ngữ cảnh tiến trình Wing FTP → Remote Code Execution với quyền tiến trình (service/root/SYSTEM tùy cấu hình).
• Post-exploitation (hậu khai thác): Kẻ tấn công thực hiện hành vi tiếp theo: tải payload, tạo persistence, di chuyển ngang (lateral movement), thu thập/đánh cắp dữ liệu, mở kết nối tới C2, v.v.

Phạm vi ảnh hưởng
Lỗ hổng này ảnh hưởng đến mọi instance của Wing FTP Server chạy phiên bản trước 7.4.4 gồm cả bản chạy trên Windows và Linux (service/proc thực thi Lua đều bị ảnh hưởng), Ảnh hưởng với cả triển khai on-premise, VM, container, hoặc cloud VM nếu dùng Wing FTP.
Từ 7.4.4, input được chuẩn hóa & loại bỏ NULL byte trước khi đi vào quy trình xác thực và ghi session dẫn dến không còn sự khác biệt giữa phần kiểm tra và phần ghi. Vì vậy loại bỏ khả năng chèn payload độc hại vào session file thông qua tham số từ client của kẻ tấn công.
Dấu hiệu cần chú ý
Các dấu hiệu cho thấy hệ thống có thể đã bị tấn công bao gồm file session chứa đoạn mã (lua snippets) không bình thường, requests đến API có ký tự NULL hoặc param dài/bất thường, chuỗi usernames/params “mâu thuẫn” giữa logs kiểm tra và file session (truncate vs ghi đầy đủ). Nếu phát hiện bất kỳ dấu hiệu nào như vậy, cần ngay lập tức cách ly hệ thống và bắt đầu quy trình incident response.
Biện pháp khắc phục
Ưu tiên số 1: cập nhật

• Cập nhật ngay lên Wing FTP Server 7.4.4 (hoặc phiên bản mới hơn do vendor phát hành). Đây là cách an toàn nhất.

Nếu không thể cập nhật ngay — các biện pháp giảm nhẹ tạm thời

• Chặn/giới hạn truy cập vào giao diện web quản trị (HTTP/S) của Wing FTP: chỉ cho phép IP quản trị tin cậy truy cập (firewall, ACL).
• Vô hiệu hóa anonymous FTP nếu đang bật.
• Giám sát/khóa thư mục session: theo dõi file session (thư mục session của Wing FTP) để phát hiện file mới/đã bị sửa đổi bất thường; tạm thời có thể thay đổi quyền/owner để hạn chế việc ghi file (cân nhắc ảnh hưởng tới hoạt động).
• Thêm quy tắc WAF/IPS để chặn các chuỗi request có biểu hiện NULL-byte injection / bất thường (nhiều vendor đã phát hành signatures).

Lưu ý: biện pháp tạm thời không đảm bảo an toàn tuyệt đối — patch là bắt buộc.
Bài học rút ra
Nếu đang sử dụng Wing FTD Server phiên bản trước 7.4.4 thì nên ưu tiên cập nhật bên cạnh đó nếu chưa patch được thì không thực thi dữ liệu do client cung cấp , Canonicalize & validate input (đặc biệt ký tự đặc biệt như \0) ,không dùng serialization cho phép thực thi code; chạy service với least privilege, Patch và quản lý inventory phần mềm nhanh chóng; defense-in-depth (WAF/IPS, segmentation, monitoring).
Kết luận
CVE-2025-47812 trên Wing FTP Server là lời nhắc mạnh mẽ rằng những lỗi tưởng chừng đơn giản như xử lý NULL byte cũng có thể trở thành cửa ngõ dẫn đến RCE toàn diện. Với việc khai thác đã được ghi nhận ngoài thực tế, người vận hành không có lựa chọn nào khác ngoài việc cập nhật ngay lên bản vá 7.4.4 trở lên.
Đây cũng là một case study điển hình về:

• Tầm quan trọng của input validation & canonicalization.
• Nguy cơ khi thực thi trực tiếp dữ liệu do client gửi.
• Giá trị của patch management và defense-in-depth trong phòng thủ mạng.