Fixing a remote execution vulnerability in sbt

Từ phiên bản sbt 1.1.0, khi người dùng cấu hình serverConnectionType = TCP, dịch vụ LSP‑like của sbt mở cổng TCP mà không kiểm tra token xác thực đúng cách. Lỗ hổng GHSA-m2pw-22cj-jq4v cho phép kẻ tấn công gửi tin nhắn JSON‑RPC được specially crafted để bỏ qua bước xác thực và thực thi mã任意 trên máy chạy build. Hệ quả là bất kỳ ai có thể kết nối đến cổng đó (thông thường localhost hoặc trong môi trường CI) có thể chạy lệnh任意, dẫn đến rò rỉ dữ liệu hoặc chiếm quyền hệ thống. Phiên bản vá là sbt 1.12.15 và 2.0.6, trong đó đã thêm kiểm tra token trên các endpoint TCP và giới hạn kết nối chỉ cho phép localhost khi không cần kết nối ngoài. Bài học là nên tránh bật serverConnectionType = TCP trừ khi thực sự cần thiết, luôn cập nhật sbt và xem xét việc tắt dịch vụ LSP hoặc sử dụng kết nối Unix socket thay vì TCP khi có thể. Ngoài ra, việc một mô hình AI tự phát hiện lại lỗi này trong quá trình thử nghiệm nhấn mạnh tầm quan trọng của việc kết hợp kiểm traруч và công cụ tự động trong bảo mật supply chain.