Crash do use-after-free trong hỗ trợ client HTTP/2 của Qt QNetworkAccessManager

Một lỗ hổng use-after-free trong phần hỗ trợ client HTTP/2 của QNetworkAccessManager thuộc module Qt Network cho phép một máy chủ HTTP/2 độc hại hoặc bị xâm nhập làm ứng dụng client bị crash, ảnh hưởng đến tính sẵn sàng.

• Qt qtbase và module Qt Network: bị ảnh hưởng từ Qt 6.9.0 đến trước Qt 6.11.3, tương ứng các bản Qt 6.9.0 đến Qt 6.11.2.
• Bản đã sửa: Qt 6.11.3 và Qt 6.12.0.
• Trước Qt 6.9.0: bản ghi CNA đánh dấu trạng thái là unknown, vì vậy bằng chứng hiện có không cho phép kết luận các bản này bị ảnh hưởng hoặc không bị ảnh hưởng.
• Trạng thái mặc định của sản phẩm là unaffected, nhưng trạng thái explicit của phạm vi trước Qt 6.9.0 vẫn được ghi nhận là unknown.

Lỗ hổng thuộc nhóm CWE-416 Use After Free trong phần hỗ trợ client HTTP/2 của QNetworkAccessManager, thuộc module Qt Network và gói qtbase. Máy chủ HTTP/2 độc hại hoặc đã bị xâm nhập có thể cung cấp dữ liệu khiến ứng dụng client đi vào trạng thái sử dụng vùng nhớ đã được giải phóng. Điều kiện khai thác là ứng dụng phải hoạt động như HTTP/2 client và kết nối tới máy chủ do kẻ tấn công kiểm soát hoặc đã bị xâm nhập; bản ghi cũng phân loại yêu cầu tấn công là phức tạp và cần có điều kiện tấn công hiện hữu. Bản ghi cho biết không cần quyền đặc biệt, nhưng cần user interaction ở mức active để ứng dụng thực hiện kết nối hoặc xử lý phản hồi phù hợp. Chi tiết chính xác về chuỗi HTTP/2 kích hoạt lỗi, đối tượng bị giải phóng và thời điểm lỗi xảy ra không được công bố trong bằng chứng đã kiểm tra.

Lỗ hổng có thể bị tiếp cận qua mạng khi ứng dụng Qt kết nối tới máy chủ HTTP/2 độc hại hoặc bị xâm nhập. Bản ghi phân loại yêu cầu quyền hạn là không cần, độ phức tạp là cao và attack requirement là present; user interaction được phân loại là active. Khai thác thành công có thể làm crash ứng dụng client, nhưng bằng chứng hiện có chỉ xác nhận ảnh hưởng đến tính sẵn sàng. Bản ghi không báo cáo trạng thái khai thác thực tế hoặc public exploit; vì vậy tình trạng khai thác ngoài thực tế chưa được xác lập.

Tác động trực tiếp là ứng dụng client có thể bị crash khi xử lý tương tác HTTP/2 được tạo bởi máy chủ độc hại hoặc bị xâm nhập. Điều này có thể làm mất chức năng của ứng dụng, gián đoạn phiên làm việc hoặc khiến dịch vụ phía client không sẵn sàng trong thời gian xử lý lỗi. Bản ghi không xác nhận ảnh hưởng đến tính bảo mật hoặc toàn vẹn, không mô tả nâng quyền và không thiết lập tác động vượt ra ngoài tiến trình client bị ảnh hưởng. Mức độ thiệt hại thực tế phụ thuộc vào vai trò của ứng dụng và khả năng khôi phục sau crash.

Lỗi có thể làm dừng hoặc crash ứng dụng Qt đang thực hiện HTTP/2 request, gây gián đoạn chức năng, thất bại các yêu cầu đang xử lý và có thể yêu cầu khởi động lại ứng dụng hoặc dịch vụ. Rủi ro đáng chú ý nhất nằm ở các client kết nối tới máy chủ bên ngoài, máy chủ do đối tác kiểm soát hoặc endpoint có thể bị xâm nhập. Tác động đã được xác nhận là mất tính sẵn sàng của tiến trình client; chưa có bằng chứng cho thấy lỗ hổng này tự nó gây lộ dữ liệu, sửa đổi dữ liệu hoặc nâng quyền.

1. Nâng cấp các triển khai nằm trong phạm vi bị ảnh hưởng lên Qt 6.11.3 hoặc Qt 6.12.0, theo nhánh phát hành phù hợp.
2. Rebuild và redeploy các ứng dụng liên kết với qtbase sau khi cập nhật, đồng thời xác minh runtime thực tế đã dùng bản Qt đã sửa thay vì chỉ cập nhật package trên hệ thống build.
3. Kiểm tra các nhánh Qt song song và mọi binary đóng gói Qt riêng trong sản phẩm, vì bằng chứng hiện có chỉ xác nhận các bản sửa nêu trên và không mở rộng thành một tuyên bố chung cho mọi bản phát hành về sau.
4. Nếu chưa thể cập nhật, bằng chứng đã kiểm tra không cung cấp workaround được Qt xác nhận. Hãy ưu tiên xử lý các client có thể kết nối tới máy chủ HTTP/2 không tin cậy và đánh giá đây là exposure còn tồn tại cho đến khi có bản sửa hoặc hướng dẫn giảm thiểu được vendor hỗ trợ.

1. Kiểm kê các ứng dụng và binary đang liên kết với qtbase, đặc biệt các thành phần sử dụng Qt Network và QNetworkAccessManager.
2. Xác định các ứng dụng thực sự sử dụng HTTP/2 client support và có thể kết nối tới endpoint do bên ngoài kiểm soát hoặc endpoint có nguy cơ bị xâm nhập.
3. Đối chiếu metadata dependency, package inventory hoặc thông tin build để xác định nhánh Qt được triển khai và ưu tiên các bản nằm trong phạm vi bị ảnh hưởng.
4. Rà soát crash telemetry và các lần kết thúc bất thường của ứng dụng đang xử lý HTTP/2 response từ máy chủ không tin cậy. Đây chỉ là kiểm tra phòng ngừa, không phải IOC đã được xác nhận, vì advisory không cung cấp log event hoặc indicator cụ thể.
5. Sau khi cập nhật, xác minh binary đã triển khai sử dụng bản Qt đã được sửa và không còn nạp nhánh bị ảnh hưởng.