Duy Linh
Writer
Một nhà tài trợ cho Pi-hole – công cụ chặn quảng cáo mã nguồn mở – vừa báo cáo việc nhận được email rác gửi đến địa chỉ email chỉ dùng cho khoản quyên góp của họ. Điều này khiến cộng đồng lo ngại về khả năng rò rỉ dữ liệu trong hệ thống nhà tài trợ của dự án.
Sự việc được nêu ra trên diễn đàn Reddit của cộng đồng Pi-hole và đang được điều tra. Địa chỉ email bị rò rỉ là địa chỉ độc quyền, được người tài trợ tạo riêng cho lần quyên góp vào tháng 2/2025. Điều đáng chú ý là email rác được viết bằng tiếng Phần Lan, kèm theo liên kết độc hại (đã bị vô hiệu hóa).
Người tài trợ cho biết địa chỉ email này dùng tên miền riêng, có tiền tố duy nhất và chưa từng sử dụng cho bất kỳ dịch vụ nào khác. Nhờ đó, họ có thể dễ dàng xác định nguồn gốc thư rác là từ phía liên quan đến dự án Pi-hole.
Một số bằng chứng chính cho thấy có khả năng xảy ra vi phạm bảo mật:
Người báo cáo đã yêu cầu phản hồi từ các quản trị viên diễn đàn để làm rõ liệu đây có phải là lỗ hổng đã được biết đến hay không. Trong khi đó, cộng đồng Pi-hole đã ghi nhận sự cố và đang tiến hành điều tra thêm.
Các khả năng gây ra sự cố bao gồm:
Sự việc là lời nhắc cảnh báo cho cả người dùng và các dự án mã nguồn mở: Việc sử dụng email riêng biệt cho từng dịch vụ là cách hiệu quả để theo dõi và phòng ngừa rò rỉ dữ liệu. Người dùng nên theo dõi hoạt động bất thường trong tài khoản email và cân nhắc áp dụng cách làm tương tự cho các khoản quyên góp trong tương lai.
Đọc chi tiết tại đây: https://gbhackers.com/pi-hole-plugin-flaw/
Sự việc được nêu ra trên diễn đàn Reddit của cộng đồng Pi-hole và đang được điều tra. Địa chỉ email bị rò rỉ là địa chỉ độc quyền, được người tài trợ tạo riêng cho lần quyên góp vào tháng 2/2025. Điều đáng chú ý là email rác được viết bằng tiếng Phần Lan, kèm theo liên kết độc hại (đã bị vô hiệu hóa).
Người tài trợ cho biết địa chỉ email này dùng tên miền riêng, có tiền tố duy nhất và chưa từng sử dụng cho bất kỳ dịch vụ nào khác. Nhờ đó, họ có thể dễ dàng xác định nguồn gốc thư rác là từ phía liên quan đến dự án Pi-hole.
Một số bằng chứng chính cho thấy có khả năng xảy ra vi phạm bảo mật:
- Email rác gửi đến địa chỉ email dành riêng cho Pi-hole
- Nội dung spam bằng tiếng Phần Lan có kèm liên kết độc hại
- Tiêu đề email được chia sẻ công khai trên Pastebin để kiểm chứng
- Không có nguồn nào khác ngoài quyên góp Pi-hole từng biết đến email này
- Khoảng thời gian giữa lúc quyên góp và khi nhận email rác kéo dài vài tháng
Người báo cáo đã yêu cầu phản hồi từ các quản trị viên diễn đàn để làm rõ liệu đây có phải là lỗ hổng đã được biết đến hay không. Trong khi đó, cộng đồng Pi-hole đã ghi nhận sự cố và đang tiến hành điều tra thêm.
Các khả năng gây ra sự cố bao gồm:
- Hệ thống hạ tầng của nền tảng quyên góp Pi-hole
- Bộ xử lý thanh toán của bên thứ ba
- Dịch vụ email đang lưu trữ thông tin của nhà tài trợ
- Tích hợp với GitHub Sponsors hoặc Patreon
- Quản lý cơ sở dữ liệu nội bộ
Sự việc là lời nhắc cảnh báo cho cả người dùng và các dự án mã nguồn mở: Việc sử dụng email riêng biệt cho từng dịch vụ là cách hiệu quả để theo dõi và phòng ngừa rò rỉ dữ liệu. Người dùng nên theo dõi hoạt động bất thường trong tài khoản email và cân nhắc áp dụng cách làm tương tự cho các khoản quyên góp trong tương lai.
Đọc chi tiết tại đây: https://gbhackers.com/pi-hole-plugin-flaw/
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview