được phát hiện trong Apache Fineract, nền tảng mã nguồn mở phổ biến được sử dụng
để xây dựng hệ thống ngân hàng lõi cho các dịch vụ tài chính số.
Cụ thể đây là một lỗ hổng SQL Injection ảnh hưởng đến nhiều endpoint API, bao gồm cả các endpoint liên quan đến văn phòng và bảng điều khiển. Theo cảnh báo chính thức, các phiên bản Apache Fineract 1.9 và trước đó tồn tại một lỗ hổng cho phép kẻ tấn công đã xác thực chèn dữ liệu độc hại vào tham số truy vấn của một số endpoint REST API.
Điều này có nghĩa là kẻ tấn công nếu được xác thực, có khả năng thao túng các truy vấn cơ sở dữ liệu để có được quyền truy cập trái phép vào dữ liệu tài chính nhạy cảm, sửa đổi các hồ sơ hiện có hoặc thậm chí kiểm soát toàn bộ hệ thống. Hậu quả có thể từ vi phạm dữ liệu và tổn thất tài chính đến gián đoạn hoàn toàn các dịch vụ.
Lỗ hổng CVE-2024-32838 ảnh hưởng đến Apache Fineract phiên bản 1.4 đến 1.9. Người dùng các phiên bản này được khuyến cáo cập nhật lên phiên bản 1.10.1.
Nguồn: Tạp chí ATTT
