Lỗ hổng CVE n8n: Nguy hiểm RCE & Chiếm Quyền Điều Khiển Nghiêm Trọng

Một lỗ hổng CVE nghiêm trọng đã được phát hiện trong n8n, một nền tảng tự động hóa quy trình làm việc mã nguồn mở được sử dụng rộng rãi. Lỗ hổng này phơi bày các máy chủ lưu trữ trước các cuộc tấn công Remote Code Execution (RCE).

Lỗ hổng này cho phép những kẻ tấn công được xác thực bỏ qua các hạn chế bảo mật tích hợp, truy cập dữ liệu nhạy cảm và cuối cùng là chiếm quyền điều khiển toàn bộ instance máy chủ lưu trữ cơ bản.

Phân Tích Lỗ Hổng CVE-2026-33660

Lỗ hổng này được theo dõi dưới mã định danh CVE-2026-33660. Nó có mức độ nghiêm trọng Critical trên cả hai khung điểm CVSS 3.1 và CVSS 4.0. Điều này biểu thị một rủi ro đáng kể đối với các môi trường tự động hóa doanh nghiệp.

Cốt lõi của lỗ hổng CVE này nằm trong node “Merge” của các workflow n8n, cụ thể là khi người dùng kích hoạt chế độ “Combine by SQL”.

Cơ chế Khai thác qua AlaSQL Sandbox

n8n sử dụng một sandbox AlaSQL để thực thi các hoạt động SQL một cách an toàn. Tuy nhiên, các nhà nghiên cứu bảo mật đã phát hiện ra rằng sandbox này không hạn chế đầy đủ các câu lệnh SQL cụ thể.

Ứng dụng không kiểm soát đúng cách việc tạo mã từ đầu vào bị ảnh hưởng từ bên ngoài. Đây là một dạng lỗ hổng CWE-94: Code Injection. Điều này cho phép kẻ tấn công đưa các lệnh độc hại thông qua node.

Mức độ Nghiêm trọng và Tác động của Lỗ hổng CVE

Vector tấn công hoàn toàn dựa trên mạng và có độ phức tạp tấn công thấp. Điều đáng lo ngại nhất là việc khai thác không yêu cầu tương tác người dùng và chỉ dựa vào các đặc quyền cấp thấp.

Khi kẻ tấn công có quyền cơ bản để tạo hoặc sửa đổi các workflow, chúng có thể khai thác lỗ hổng thoát sandbox này để đọc trực tiếp các tệp cục bộ từ hệ thống máy chủ n8n.

Từ đó, chúng có thể dễ dàng leo thang tấn công để thực thi mã tùy ý từ xa, giành quyền truy cập quản trị sâu vào hạ tầng máy chủ. Việc này dẫn đến việc chiếm quyền điều khiển hoàn toàn máy chủ.

Kết quả là hệ thống bị xâm phạm tính bảo mật, tính toàn vẹn và tính khả dụng của dữ liệu. Khả năng thực hiện remote code execution là mối đe dọa lớn nhất.

Chi tiết Kỹ thuật Khai thác

Như đã đề cập, lỗ hổng CVE-2026-33660 là một ví dụ điển hình về Code Injection (CWE-94). Lỗ hổng này xuất hiện khi một ứng dụng cho phép thực thi mã được tạo ra từ dữ liệu đầu vào không được kiểm soát hoặc bị ảnh hưởng từ bên ngoài.

Trong trường hợp của n8n, cơ chế AlaSQL sandbox được thiết kế để cô lập các hoạt động SQL. Tuy nhiên, việc thực hiện không đầy đủ đã tạo ra một kẽ hở. Kẻ tấn công có thể chèn các câu lệnh SQL đặc biệt để vượt qua các lớp bảo vệ của sandbox.

Một khi sandbox bị thoát, kẻ tấn công có thể thực hiện các thao tác đọc tệp. Điều này có thể tiết lộ thông tin cấu hình, thông tin xác thực hoặc các tệp nhạy cảm khác trên hệ thống.

Ví dụ, việc đọc các tệp cấu hình có thể cung cấp thông tin cần thiết để leo thang đặc quyền. Từ đó, kẻ tấn công có thể đạt được remote code execution hoàn toàn trên máy chủ. Mức độ truy cập này cho phép chúng thực hiện bất kỳ lệnh nào trên hệ điều hành. Điều này biến một lỗ hổng CVE thành một sự kiện bảo mật nghiêm trọng.

Biện pháp Khắc phục và Giảm thiểu

Để bảo vệ hệ thống khỏi lỗ hổng CVE-2026-33660 và ngăn chặn remote code execution, các đội ngũ bảo mật và quản trị viên hệ thống được khuyến nghị thực hiện các hành động sau một cách khẩn cấp.

Cập nhật Bản vá Bảo mật

Nhóm phát triển n8n đã chính thức khắc phục vấn đề trong các bản phát hành mới nhất của họ trên GitHub. Việc cập nhật lên phiên bản mới nhất là biện pháp khắc phục vĩnh viễn và hiệu quả nhất.

Quản trị viên nên truy cập trang khuyến nghị bảo mật chính thức của n8n trên GitHub để xác định phiên bản vá lỗi cụ thể cho môi trường của mình. Đây là nguồn đáng tin cậy nhất để tìm kiếm các bản vá cho lỗ hổng CVE này: n8n Security Advisory GHSA-58qr-rcgv-642v.

Giải pháp Giảm thiểu Tạm thời

Trong trường hợp việc vá lỗi ngay lập tức làm gián đoạn hoạt động kinh doanh, quản trị viên phải triển khai các biện pháp giảm thiểu tạm thời để giảm thiểu rủi ro phơi nhiễm. Lưu ý rằng các giải pháp này không loại bỏ hoàn toàn lỗ hổng CVE.

Kiểm tra Quyền truy cập Người dùng

• Các tổ chức nên kiểm tra quyền truy cập của người dùng một cách kỹ lưỡng.
• Hạn chế nghiêm ngặt quyền tạo và sửa đổi workflow chỉ cho những nhân sự đáng tin cậy nhất.
• Nguyên tắc ít đặc quyền nhất (Principle of Least Privilege) cần được áp dụng chặt chẽ để giảm thiểu bề mặt tấn công của lỗ hổng CVE này.

Tắt thành phần dễ bị tấn công

Quản trị viên có thể tắt hoàn toàn thành phần dễ bị tấn công bằng cách thêm n8n-nodes-base.merge vào biến môi trường NODES_EXCLUDE. Điều này giúp ngăn chặn khả năng khai thác remote code execution tạm thời.

NODES_EXCLUDE=n8n-nodes-base.merge

Ví dụ, nếu sử dụng Docker, bạn có thể thêm dòng này vào tệp docker-compose.yml của mình:

version: '3.8'services: n8n: image: n8n.io/n8n ports: - "5678:5678" environment: - N8N_HOST=${N8N_HOST} - N8N_PORT=${N8N_PORT} - N8N_PROTOCOL=${N8N_PROTOCOL} - NODES_EXCLUDE=n8n-nodes-base.merge # ... các biến môi trường khác

Hoặc, nếu bạn chạy n8n trực tiếp, hãy thiết lập biến môi trường trước khi khởi động dịch vụ.

Một liên kết đáng tin cậy khác để tìm kiếm thông tin về lỗ hổng CVE và các bản vá là Cổng thông tin của Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST): NVD – CVE-2026-33660.

Trong khi các giải pháp giảm thiểu này cung cấp bảo vệ ngắn hạn, n8n cảnh báo rằng chúng không loại bỏ hoàn toàn rủi ro. Việc áp dụng các bản vá chính thức vẫn là chiến lược khắc phục vĩnh viễn duy nhất chống lại mối đe dọa này và ngăn chặn một cuộc tấn công remote code execution thành công.