Cảnh báo lỗ hổng Zero-day trong Elastic EDR (Elastic Agent)

Ngày 17/8/2025, một lỗ hổng zero-day nghiêm trọng trong Elastic EDR (Elastic Agent) đã bị phát hiện và đang bị các nhóm APT tích cực khai thác. Lỗ hổng cho phép thực thi mã từ xa (RCE) mà không cần tương tác người dùng, giúp kẻ tấn công chiếm quyền SYSTEM (Windows) hoặc root (Linux/macOS). Điều này cho phép toàn quyền kiểm soát hệ thống và vô hiệu hóa Elastic EDR. Elastic đã xác nhận và đang phát triển bản vá khẩn cấp.

Phân tích nguy cơ:

- Tấn công vào chính "người bảo vệ": Lỗ hổng nằm trong chính tác nhân an ninh, cho phép kẻ tấn công hoạt động "dưới radar", vô hiệu hóa khả năng phát hiện và ghi log của EDR trước khi thực hiện các hành vi phá hoại khác.

- Không yêu cầu tương tác: Kẻ tấn công có thể khai thác lỗ hổng một cách tự động và trên diện rộng mà không cần lừa người dùng nhấp vào liên kết hay mở tệp độc hại.

- Đặc quyền tối cao: Khai thác thành công sẽ cung cấp ngay lập tức đặc quyền quản trị cao nhất, cho phép kẻ tấn công toàn quyền cài đặt phần mềm độc hại, sửa đổi cấu hình hệ thống và truy cập mọi dữ liệu.

Khuyến nghị ứng phó

- Chuẩn bị cập nhật bản vá: Liên tục theo dõi các kênh thông báo chính thức từ Elastic(https://www.elastic.co/community/security). Lên kế hoạch triển khai bản vá cho toàn bộ Elastic Agent và Fleet Server ngay khi nó được phát hành. Đây là ưu tiên số một.

- Hạn chế bề mặt tấn công: Rà soát và thắt chặt các quy tắc tường lửa. Hạn chế nghiêm ngặt các kết nối đến các cổng giao tiếp của Elastic Agent từ các mạng không tin cậy. Nếu có thể, hãy phân đoạn mạng để cô lập các tài sản quan trọng.

- Tăng cường giám sát mạng: Sử dụng các công cụ giám sát mạng (IDS/IPS, NetFlow) để phát hiện các luồng dữ liệu bất thường đến và đi từ các thiết bị đầu cuối, vì EDR có thể đã bị vô hiệu hóa và không còn đáng tin cậy.

- Chủ động săn lùng mối đe dọa (Threat Hunting): Đội ngũ an ninh cần giả định rằng hệ thống có thể đã bị xâm nhập. Chủ động rà soát logs từ tường lửa, proxy, và Active Directory để tìm kiếm các dấu hiệu bất thường (IoCs) xảy ra trong vài ngày qua.

- Kích hoạt kế hoạch ứng phó sự cố: Đặt đội ứng cứu sự cố  vào tình trạng sẵn sàng cao. Chuẩn bị các quy trình để cách ly, phân tích và khắc phục các hệ thống bị ảnh hưởng.

Tài liệu tham khảo chính thức

- https://www.elastic.co/community/security