Giới thiệu
Smartbi là một nền tảng phân tích dữ liệu (BI) phổ biến, tích hợp các chức năng phân tích dữ liệu, báo cáo và trực quan hóa. Gần đây, một lỗ hổng bỏ qua đăng nhập đã được công bố, đã được vá, nhưng vẫn còn ảnh hưởng đến một số lượng lớn hệ thống trực tuyến.
Lỗi này có thể cho phép kẻ tấn công lợi dụng các tài khoản mặc định, lấy được mã thông báo xác thực và cuối cùng gọi các API backend — có thể dẫn đến rò rỉ dữ liệu nhạy cảm hoặc thậm chí thực thi mã từ xa (RCE).
Chi tiết về lỗ hổng
Trong quá trình cài đặt, Smartbi tạo ra nhiều tài khoản mặc định. Bằng cách lợi dụng các điểm cuối cụ thể, kẻ tấn công có thể bỏ qua xác thực và trực tiếp lấy được thông tin danh tính. Những thông tin này sau đó có thể được tái sử dụng để truy cập vào các API backend mà không cần đăng nhập đúng cách.
Tác động:
- Truy cập trái phép vào dữ liệu nhạy cảm
- Phơi bày toàn bộ API backend
- Khả năng thực thi mã tùy ý
Các phiên bản bị ảnh hưởng:
Smartbi V7 – V10
Công cụ phát hiện
Có hai công cụ quét không xâm lấn dành cho các nhà bảo vệ:
1. X-POC Remote Scanner
Kiểm tra nhanh xem URL mục tiêu có bị tấn công:
xpoc -r 105 -t http://target-url- Tải X-POC trên GitHub
- Tải công cụ (Stack)
2. CloudWalker Local Scanner
Chạy quét cục bộ an toàn:
smartbi_internal_user_login_bypass_scanner_windows_amd64.exe scan --output result.json- Tải CloudWalker scanner
Giải pháp & Khắc phục
Giải pháp tạm thời
- Gỡ bỏ các tài khoản mặc định (
public,service,system) nếu không cần thiết. - Không expose Smartbi trực tiếp ra internet trừ khi thực sự cần thiết.
Giải pháp vĩnh viễn
Smartbi đã phát hành bản vá bảo mật chính thức. Hỗ trợ cả nâng cấp trực tuyến và cài đặt bản vá ngoại tuyến. 👉 Tải bản vá tại đây
Hỗ trợ sản phẩm
- YunTu: Phát hiện dựa trên vân tay + hỗ trợ PoC
- SafeLine WAF: Bản vá ảo được phát hành, có khả năng phát hiện các nỗ lực tấn công
- DongJian: Hỗ trợ và công bố PoC tùy chỉnh
- CloudWalker: Nền tảng v23.05.001+ hỗ trợ phát hiện thông qua gói thông tin lỗ hổng khẩn cấp (EMERVULN-23.06.009)
- QuanXi: Cập nhật quy tắc được phát hành để phát hiện exploit
Thời gian
- 15 tháng 6 — Lỗ hổng được báo cáo cho Chaitin Tech
- 16 tháng 6 — Lỗ hổng được phân tích và tái tạo
- 19 tháng 6 — Thông báo công khai được phát hành
Kết luận
Lỗ hổng bỏ qua đăng nhập Smartbi một lần nữa cho thấy cách mà các tài khoản mặc định và logic xác thực yếu có thể nhanh chóng leo thang thành những rủi ro bảo mật nghiêm trọng.
Nếu triển khai Smartbi của bạn chưa được vá, hãy áp dụng bản sửa lỗi ngay lập tức — kẻ tấn công sẽ không ngần ngại lợi dụng lỗ hổng này để đánh cắp dữ liệu hoặc thậm chí thực thi mã từ xa.
Trong khi đó, triển khai SafeLine WAF cung cấp một lớp phòng thủ bổ sung, chặn các nỗ lực tấn công trong thời gian thực.
