Lỗ hổng nghiêm trọng trong Instant Messenger của AOL

Nhiều công ty an ninh máy tính đang khuyến cáo người lướt web về lỗi goaway trong phần mềm nhắn tin nhanh của hãng America Online (AIM). Khiếm khuyết này cho phép những kẻ tấn công từ xa chạy mã nguy hiểm trên máy tính có cài đặt phần mềm của AOL.

Phát ngôn viên của AOL Andrew Weinstein khẳng định phần mềm của hãng đã bị lỗi trong giao diện của tính năng AIM. Chức năng này cho phép người dùng post câu trả lời tự động (như thông điệp I'm away - Tôi đi vắng) vào những tin nhắn nhanh mà họ nhận được. AOL dự định sẽ phát hành phiên bản thử nghiệm AIM client vào cuối tuần này nhằm mục đích vá lỗ hổng goaway.

Hãng an ninh máy tính iDefense (Mỹ) phát hiện ra lỗi nghiêm trọng này và thông báo cho AOL vào ngày 12/7. Khiếm khuyết cho phép tin tặc làm tràn bộ đệm trong hệ thống chạy phần mềm AIM. Những kẻ tấn công có thể khai thác lỗ hổng này bằng cách cung cấp nhiều dữ liệu vào chức năng goaway, sử dụng URL được nhúng trong IM của người dùng.

Trong trường hợp tràn bộ đệm, bộ nhớ máy tính được dùng để lưu trữ dữ liệu vượt quá dung lượng cho phép, tạo điều kiện thuận lợi cho hacker khai thác những ứng dụng bị lỗi hoặc đặt, chạy chính mã của chúng trong máy tính mục tiêu.

iDefense cho biết tất cả những phiên bản AIM dành cho hệ điều hành Microsoft đều bị tác động. Nếu bị khai thác thành công, chức năng goaway của AIM cho phép những kẻ tấn công từ xa chạy mã với sự chấp thuận của người dùng.

Tuy nhiên, khách hàng AIM phải click vào URL thì lỗi này mới bị khai thác. Do đó, điều này đã gây khó khăn cho hacker nguy hiểm hoặc những tác giả viết virus muốn lợi dụng sơ hở trong các cuộc "đột kích" tự động.

Theo Weinstein, sự tồn tại của khiếm khuyết này đòi hỏi người dùng phải cẩn thận khi click vào những đường link trong thông điệp IM, đặc biệt là tin nhắn của những người không quen biết.

AOL khuyến khích người dùng AIM chuyển sang sử dụng phiên bản beta AIM client. Trong khi đó, iDefense khuyên người dùng nên thay đổi setting của cấu hình Windows để bảo vệ máy tính không bị khai thác. Thông tin chi tiết về vấn đề này được đăng tải trên website iDefense.

N. Hương (theo PCWorld)