www.stc.hust.edu.vn

Vì sao cần quan tâm

Kiểm tra này xác định liệu một ứng viên CVE có thể áp dụng có đồng thời nằm trong danh mục Known Exploited Vulnerabilities (KEV) của CISA hay không. Kết quả dương tính nghĩa là lỗ hổng đó đã bị dùng trong các cuộc tấn công thực tế và cần điều tra khẩn cấp, nhưng vẫn phải xác nhận phần mềm đang cài có thực sự bị ảnh hưởng hay không.

Nên làm gì

Xác minh ngay sản phẩm đang cài và làm theo hướng dẫn của CISA cùng nhà cung cấp về biện pháp giảm thiểu, vá lỗi hoặc nâng cấp nếu sản phẩm bị ảnh hưởng.

Bằng chứng và phạm vi kiểm tra

Lỗ hổng đã ghi nhận bị khai thác:

1

Tổng ứng viên lỗ hổng đã biết bị khai thác:

1

Mã CVE có khả năng liên quan:

CVE-2015-9251, CVE-2019-11358, CVE-2020-11022, CVE-2020-11023

Mã CVE có khả năng liên quan đang hiển thị:

CVE-2015-9251, CVE-2019-11358, CVE-2020-11022, CVE-2020-11023

Tổng số lỗ hổng có khả năng liên quan:

4

Số lỗ hổng có khả năng liên quan đang hiển thị:

4

Đã hoàn tất đối chiếu lỗ hổng bị khai thác:

Có

Hoàn tất:

Có

Sản phẩm đã đối chiếu:

1

Sản phẩm đủ dữ liệu để đối chiếu:

1

Không hiển thị 16 trường bằng chứng bổ sung tại đây.

Tài liệu tham chiếu

Vì sao cần quan tâm

HttpOnly ngăn script trong trình duyệt đọc trực tiếp cookie. Thuộc tính này không khắc phục lỗi chèn script nhưng khiến việc đánh cắp cookie phiên và xác thực khó hơn.

Nên làm gì

Đặt HttpOnly cho cookie phiên và xác thực, trừ khi ứng dụng có nhu cầu rõ ràng và được ghi nhận để đọc chúng bằng mã trong trình duyệt.

Vì sao cần quan tâm

Content Security Policy (CSP) giới hạn nguồn được phép cung cấp script, style, frame và nội dung khác cho trình duyệt. Chính sách chặt chẽ giúp giảm tác động nếu kẻ tấn công chèn được nội dung vào trang.

Nên làm gì

Chỉ khai báo các nguồn ứng dụng thực sự cần, kiểm thử chính sách trước khi kích hoạt và hạn chế quy tắc ký tự đại diện (*) quá rộng, unsafe-inline cùng unsafe-eval.