Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vào thứ Hai đã bổ sung một lỗ hổng bảo mật mức độ trung bình ảnh hưởng đến Wing FTP vào danh mục Known Exploited Vulnerabilities (KEV) của mình, với bằng chứng về việc khai thác chủ động.
Lỗ hổng, CVE-2025-47813 (điểm CVSS: 4.3), là một lỗ hổng tiết lộ thông tin làm rò rỉ đường dẫn cài đặt của ứng dụng trong một số điều kiện nhất định.
"Wing FTP Server chứa một lỗ hổng tạo thông báo lỗi chứa thông tin nhạy cảm khi sử dụng giá trị dài trong cookie UID," CISA cho biết.
Lỗ hổng này ảnh hưởng đến tất cả các phiên bản phần mềm trước và bao gồm phiên bản 7.4.3. Vấn đề đã được khắc phục trong phiên bản 7.4.4, được phát hành vào tháng 5 sau khi nhà nghiên cứu bảo mật RCE Security Julien Ahrens tiết lộ có trách nhiệm.
Đáng chú ý là phiên bản 7.4.4 cũng vá CVE-2025-47812 (điểm CVSS: 10.0), một lỗi nghiêm trọng khác trong cùng sản phẩm cho phép thực thi mã từ xa. Tính đến tháng 7 năm 2025, lỗ hổng này đã bị khai thác chủ động trong thực tế.
Theo các chi tiết được Huntress chia sẻ vào thời điểm đó, những kẻ tấn công đã lợi dụng nó để tải xuống và thực thi các tệp Lua độc hại, tiến hành trinh sát và cài đặt phần mềm giám sát và quản lý từ xa.
Ahrens, trong một khai thác proof-of-concept (PoC) được chia sẻ trên GitHub, đã lưu ý rằng điểm cuối tại "/loginok.html" không xác thực đúng giá trị của cookie phiên "UID". Do đó, nếu giá trị được cung cấp dài hơn kích thước đường dẫn tối đa của hệ điều hành cơ bản, nó sẽ kích hoạt một thông báo lỗi tiết lộ toàn bộ đường dẫn máy chủ cục bộ.
"Khai thác thành công có thể cho phép kẻ tấn công đã xác thực lấy được đường dẫn máy chủ cục bộ của ứng dụng, điều này có thể giúp khai thác các lỗ hổng như CVE-2025-47812," nhà nghiên cứu cho biết thêm.
Hiện tại không có thông tin chi tiết về cách lỗ hổng này đang bị khai thác trong thực tế, và liệu nó có đang bị lạm dụng cùng với CVE-2025-47812 hay không. Trước diễn biến mới nhất này, các cơ quan Federal Civilian Executive Branch (FCEB) được khuyến nghị áp dụng các bản vá cần thiết trước ngày 30 tháng 3 năm 2026.
