CISA công bố advisory cho Malcolm: kiểm tra ingestion, RBAC và phiên bản 26.07.1

CISA phát hành advisory ICSA-26-230-01 ngày 18/08/2026, nêu rằng khai thác thành công các lỗ hổng trong Malcolm có thể dẫn tới denial of service hoặc code execution, tùy CVE và điều kiện. Trang advisory là nguồn điều phối; affected/fixed version và thay đổi triển khai phải được đối chiếu với release/security advisory chính thức của repository.

Release Malcolm v26.06.1 ngày 16/06/2026 ghi nhận sửa lỗi unrestricted .php upload dẫn tới RCE trong file-upload. Release v26.07.1 ngày 22/07/2026 bao gồm các sửa của v26.07.0 cho RBAC bypass do URI normalization, path traversal khi giải nén và resource/inode exhaustion; đồng thời có hướng dẫn migration trước khi khởi động lại stack.

NetVali kiểm tra nguồn lúc 05:32 ngày 19/08/2026 (UTC+7). Không nên diễn giải ngày advisory là ngày bản vá đầu tiên xuất hiện. Trước khi đăng hoặc xử lý production, cần mở lại advisory vì revision, affected range hoặc guidance có thể được cập nhật.

Điểm đáng chú ý là attack surface nằm ngay trên nền tảng phòng thủ. Malcolm xử lý dữ liệu vốn không đáng tin như PCAP, archive và log; một lỗi ở upload/extraction có thể ảnh hưởng visibility đúng lúc SOC cần dữ liệu nhất. Resource exhaustion có thể làm ingestion pipeline mất khả dụng mà không cần phá hệ thống nguồn.

Release v26.07.1 mô tả ba lớp sửa: kiểm tra resolved path/secure extraction; giới hạn entry count, nesting depth và expanded bytes; đồng bộ URI normalization giữa Nginx và lớp Lua authorization. Điều này cho thấy kiểm thử phải bao phủ input, authorization và resource budget, không chỉ scanner CVE.

Repository nêu các biến SAFEEXTRACTMAXENTRIES, SAFEEXTRACTMAXDEPTH và SAFEEXTRACTMAXBYTES. Đây là default/configuration của phiên bản cụ thể, không phải giá trị tối ưu cho mọi deployment; cần cân bằng với kích thước PCAP/archive hợp lệ.

Đội SOC cần xác định ai có ROLEUPLOAD, dữ liệu đến từ đâu, reverse proxy/identity nào bảo vệ UI và upload volume/container có chia sẻ tài nguyên với thành phần khác hay không. Đội platform phải kiểm tra version, image digest, upgrade path, backup và health của PostgreSQL/OpenSearch sau nâng cấp.

Hạng mục · Câu hỏi kiểm chứng · Bằng chứng Version · Runtime/image nào đang chạy? · Tag + digest + build Upload role · Ai có quyền, qua identity nào? · RBAC export + access review File validation · Extension/path/archive được kiểm soát? · Config + benign negative test Resource limits · Entry/depth/bytes và volume quota? · Env/config + metric Isolation · Container/mount chia sẻ tới đâu? · Compose/Kubernetes topology Upgrade · Dữ liệu và service còn khỏe? · Backup + regression report Detection · Có log upload/deny/resource error? · Audit trail + alert test

Không đưa file khai thác hoặc archive bomb vào production. Có thể kiểm chứng phòng thủ bằng file benign vượt ngưỡng nhỏ trong lab cô lập, test extension không được phép và quan sát cleanup/resource telemetry.

Các SOC, DFIR team, critical-infrastructure lab và tổ chức dùng Malcolm/Hedgehog cần ưu tiên. Đặc biệt lưu ý deployment multi-user, nhận upload từ đối tác, có web UI reachable rộng hoặc đặt storage chung với dịch vụ khác.

Nhóm không dùng Malcolm không cần áp version, nhưng bài học áp dụng cho mọi NDR/packet analysis pipeline: dữ liệu bảo mật vẫn là untrusted input; collector và forensic system cần patch, least privilege, isolation và capacity guardrail.

Owner ứng dụng, SOC, vulnerability management và platform phải phối hợp. Chỉ patch container mà không rà role, exposure và log có thể bỏ sót compromise hoặc cấu hình nguy hiểm.

Advisory không tự chứng minh Malcolm của một tổ chức đã bị khai thác. Không thấy indicator cũng không chứng minh an toàn nếu access/upload log thiếu. Cần điều tra dựa trên exposure, version, role và evidence tại chỗ.

Không nên gộp mọi CVE thành một đường tấn công chắc chắn. Điều kiện authentication, role và component khác nhau; chain phải được xác nhận theo affected version. Bản nháp không cung cấp hướng dẫn exploit.

Chưa thể kết luận nâng cấp lên một tag duy nhất giải quyết mọi risk tương lai hoặc mọi dependency. Release v26.07.1 có thay đổi thành phần và migration; cần test backup/restore, database, ingest, dashboard và alert trên topology cụ thể.

• Mở CISA ICSA-26-230-01 và repository release; ghi thời điểm kiểm tra.
• Kiểm kê Malcolm instance, version, image digest, owner và exposure.
• Rà ROLEUPLOAD, identity provider, MFA và session policy.
• Xác định nguồn PCAP/archive, maximum legitimate size và retention.
• Đối chiếu v26.06.1/v26.07.1 cùng advisory theo phiên bản đang chạy.
• Sao lưu và thử restore theo runbook trước upgrade.
• Kiểm tra resource limits, volume isolation và disk/inode alert.
• Rà access/upload/container log trong cửa sổ phù hợp.
• Chạy benign negative test trong staging, không dùng PoC production.
• Regression test ingestion, Zeek/Suricata, search, dashboard và alert.
• Lưu config, digest, timestamp, raw evidence và quyết định đóng.

Dựng staging từ cùng manifest/image. Baseline upload PCAP/archive hợp lệ, parsing, index, search và alert. Sau nâng cấp, lặp chính xác corpus. Thêm file sai extension, archive có path không hợp lệ và archive benign vượt limit nhỏ; xác nhận request bị từ chối, partial output được dọn và pipeline khác không mất khả dụng.

Thử role matrix: viewer, uploader, analyst và admin truy cập endpoint được phép/không được phép. Đo deny accuracy, log completeness, CPU/memory/disk/inode và recovery. Pass khi version nằm ngoài affected range đã xác nhận, RBAC đúng, resource guardrail hoạt động, dữ liệu không hỏng và regression KPI đạt.

• Malcolm: Bộ công cụ phân tích lưu lượng mạng dạng container do CISA phát triển.
• Ingestion boundary: Ranh giới nơi hệ thống nhận dữ liệu không đáng tin.
• RBAC: Phân quyền dựa trên vai trò.
• Path traversal: Input khiến thao tác file thoát khỏi thư mục dự kiến.
• Resource exhaustion: Tiêu thụ tài nguyên tới mức dịch vụ mất khả dụng.
• Image digest: Định danh bất biến của container image.
• Regression test: Kiểm tra chức năng/KPI cũ vẫn đúng sau thay đổi.