Lỗi vượt qua xác thực trong PortSwigger Burp Suite DAST

Trong PortSwigger Burp Suite DAST (trước đây là Burp Suite Enterprise Edition) trước phiên bản 2026.8, có thể xảy ra việc vượt qua xác thực thông qua một đường dẫn hoặc kênh thay thế.

• PortSwigger Burp Suite DAST: bản 2021.11 và các bản thấp hơn 2026.8 được đánh dấu là bị ảnh hưởng.
• Bản ghi đặt default_status là unaffected ngoài mục phiên bản bị ảnh hưởng đã nêu.
• PortSwigger xác nhận bản phát hành 2026.8 đã sửa lỗi này.
• Bằng chứng hiện có không liệt kê thêm nhánh phiên bản hoặc biến thể triển khai nào khác.

Lỗ hổng được phân loại là CWE-288, Authentication Bypass Using an Alternate Path or Channel. Cơ chế dễ bị ảnh hưởng là quyết định xác thực có thể bị vượt qua thông qua một đường dẫn hoặc kênh thay thế. Dữ liệu đánh giá cho biết lỗ hổng có thể bị khai thác qua mạng, với độ phức tạp thấp, không yêu cầu quyền trước hoặc tương tác của người dùng. Cuộc tấn công vẫn có một điều kiện bổ sung, nhưng hồ sơ không nêu rõ điều kiện đó là gì. Chi tiết về input do kẻ tấn công kiểm soát, endpoint, request hoặc logic xác thực cụ thể không được công bố. Vì vậy, khả năng một endpoint dịch vụ hoặc đường quản trị DAST có thể bị tiếp cận từ mạng là một suy luận cần kiểm tra, không phải chi tiết triển khai đã được xác nhận.

• Lỗ hổng có thể bị tiếp cận qua mạng.
• Theo dữ liệu đánh giá, cuộc tấn công không yêu cầu quyền trước hoặc tương tác của người dùng và có độ phức tạp thấp.
• Một điều kiện tấn công bổ sung được yêu cầu, nhưng điều kiện cụ thể chưa được công bố.
• Hồ sơ được cung cấp không đánh dấu lỗ hổng là đã bị khai thác phổ biến và đặt public_exploit ở trạng thái false; phần CISA enrichment được ghi trong bản ghi GCVE nêu trạng thái khai thác là none. Đây là trạng thái đánh giá tại thời điểm ghi nhận, không chứng minh rằng việc khai thác là không thể.

Lỗi này có thể dẫn đến việc vượt qua lớp xác thực của Burp Suite DAST và truy cập trái phép vào chức năng được bảo vệ. Tác động được ghi nhận đối với tính bí mật, toàn vẹn và khả dụng của thành phần dễ bị ảnh hưởng đều ở mức cao, nên một lần khai thác thành công có thể cho phép xem hoặc thay đổi dữ liệu, cấu hình, hoặc làm gián đoạn dịch vụ tùy theo quyền mà chức năng bị lộ cung cấp. Tác động đến các hệ thống hoặc phạm vi bên ngoài thành phần dễ bị ảnh hưởng được đánh giá thấp hơn. Quyền cụ thể sau khi vượt qua xác thực, ranh giới tenant và khả năng thực thi mã không được hồ sơ công khai xác định.

Nếu khai thác thành công, kẻ tấn công có thể truy cập chức năng DAST vốn yêu cầu xác thực và làm suy giảm mức tin cậy của hệ thống quét bảo mật. Dựa trên tác động được ghi nhận, dữ liệu hoặc cấu hình trong thành phần dễ bị ảnh hưởng có thể bị đọc hoặc thay đổi, đồng thời hoạt động của dịch vụ có thể bị gián đoạn; đây là các hậu quả có thể xảy ra, không phải một sự cố đã được xác nhận. Việc mất kiểm soát đối với kết quả hoặc cấu hình quét có thể làm chậm quy trình xử lý lỗ hổng của tổ chức. Hồ sơ không mô tả vụ rò rỉ dữ liệu, chiến dịch tấn công, nạn nhân hoặc sự cố cụ thể nào.

1. Nâng cấp PortSwigger Burp Suite DAST lên bản 2026.8, là bản được ghi nhận đã sửa lỗi bảo mật này.
2. Kiểm kê riêng các triển khai vẫn mang tên Burp Suite Enterprise Edition và đưa chúng vào kế hoạch cập nhật nếu chúng thuộc sản phẩm Burp Suite DAST bị ảnh hưởng.
3. Nếu chưa thể cập nhật ngay, hạn chế khả năng truy cập mạng của các instance dễ bị ảnh hưởng vào các mạng quản trị hoặc scanning đáng tin cậy. Đây chỉ là biện pháp giảm phơi nhiễm tạm thời, không phải bản sửa lỗi được nhà cung cấp xác nhận.
4. Sau khi cập nhật, xác minh từng instance đạt bản 2026.8 và loại bỏ hoặc cô lập các triển khai cũ còn tồn tại.
5. Bản ghi không cung cấp một biện pháp giảm thiểu tạm thời cụ thể nào khác từ nhà cung cấp.

1. Kiểm kê tất cả triển khai PortSwigger Burp Suite DAST, bao gồm các hệ thống trước đây được gọi là Burp Suite Enterprise Edition, rồi đối chiếu phiên bản với phạm vi bị ảnh hưởng.
2. Xác định các instance có endpoint dịch vụ hoặc đường quản trị có thể truy cập từ mạng không tin cậy. Đây là kiểm tra phơi nhiễm phòng ngừa, không phải chỉ báo khai thác đã được xác nhận.
3. Rà soát access log và authentication log để tìm các lần truy cập thành công không đi kèm ngữ cảnh xác thực hợp lệ hoặc bất thường về nguồn truy cập. Nhà cung cấp không công bố event, log pattern hoặc IOC cụ thể cho lỗ hổng này.
4. Sau khi cập nhật, kiểm tra lại inventory để bảo đảm mọi instance đã đạt bản phát hành chứa bản sửa lỗi và không còn triển khai cũ.
5. Không coi việc không tìm thấy log đáng ngờ là bằng chứng rằng hệ thống an toàn.