Lỗ hổng bảo mật tồn tại 18 năm trên loạt trình duyệt web

Lỗ hổng trong trình duyệt đã được khắc phục trước khi được công bố nhờ sự tham gia của một nhà nghiên cứu độc lập vào chương trình thưởng lỗi của Google, Microsoft, Mozilla, Apple và các công ty khác.

Tuy nhiên, đôi khi các lỗ hổng trong trình duyệt xuất hiện và để lại nguy cơ cho chúng ta trong nhiều năm trước khi được phát hiện. Một ví dụ tiêu biểu là lỗ hổng có tên 0.0.0.0-day. Nguy hiểm hơn, lỗ hổng này đã tồn tại hơn 18 năm qua và đã bị tin tặc lợi dụng trong một khoảng thời gian dài.

Thông qua lỗ hổng này, tin tặc đã thực hiện các cuộc tấn công từ xa vào nhiều loại hệ thống (đặc biệt là router), tuy nhiên, sự gia tăng đáng kể chỉ mới diễn ra trong vài ngày gần đây, gây ra cảnh báo cho người dùng. Về cơ bản, mã độc lợi dụng lỗ hổng bảo mật này có thể ẩn nấp ở bất kỳ đâu. Chẳng hạn, trên các trang web, khi người dùng truy cập, nó sẽ tự động bị khai thác.

Lỗ Hổng Bảo Mật Tồn Tại 18 Năm Trên Loạt Trình Duyệt Web

Ngoài ra, nó còn có khả năng ẩn mình trong các phần mềm khác và thậm chí trong các đoạn mã (có nhiều ví dụ được phát hiện trong Python, với các thư viện như Selenium) mà chúng ta sử dụng trên máy tính.

Vậy lỗ hổng 0.0.0.0-day có mức độ nguy hiểm ra sao? Đây là một lỗ hổng đã tồn tại suốt 18 năm và tác động đến gần như tất cả các trình duyệt web hiện nay trên thị trường. Lỗ hổng bảo mật này cho phép tin tặc thực hiện các cuộc tấn công vào các thiết bị khác trong cùng một mạng cục bộ hoặc các dịch vụ đang hoạt động trên chính thiết bị đó.

Trước mối đe dọa từ lỗ hổng 0.0.0.0-day, những trình duyệt web lớn đã bắt đầu thực hiện các biện pháp nhằm bảo vệ người dùng trước lỗ hổng nghiêm trọng này.

Lỗ Hổng Bảo Mật Tồn Tại 18 Năm Trên Loạt Trình Duyệt Web Features

Ví dụ, trình duyệt Chrome đã chặn quyền truy cập vào phiên bản 0.0.0.0 của URL, trong khi Firefox đang phát triển phiên bản mới với bản vá riêng (dù vẫn còn tồn tại khả năng bị tấn công), còn Apple đã thực hiện một số thay đổi đối với WebKit của Safari nhằm ngăn chặn các địa chỉ này trong phiên bản tiếp theo của trình duyệt.

Các chuyên gia bảo mật từ Oligo, một công ty có trụ sở tại Israel, đã phát hiện ra lỗ hổng này và khuyến nghị rằng các nhà phát triển ứng dụng nên bổ sung một số biện pháp bảo mật, như thêm tiêu đề PNA, thiết lập hệ thống xác minh cho tiêu đề HOST, không bao giờ tin tưởng vào localhost và sử dụng HTTPS trong quá trình duyệt web.

Thêm vào đó, một điểm tích cực là lỗ hổng bảo mật này chỉ ảnh hưởng đến hệ điều hành Linux và macOS, trong khi Windows là hệ điều hành duy nhất không bị tác động bởi vấn đề này. Điều này có nghĩa rằng người dùng sử dụng hệ điều hành của Microsoft sẽ không cần phải lo ngại về bất kỳ rủi ro nào.

Viết một bình luận