RSS
 
Thứ tư, 24/3/2004, 02:25 GMT+7

Lỗ thủng trong công cụ lọc mail của Hotmail và Yahoo

Phát hiện của công ty bảo mật GreyMagic Software (Israel) cho biết, khiếm khuyết trong phương thức lọc e-mail của hai mạng dịch vụ này đặt người sử dụng vào nguy cơ bị tấn công thông qua những tập lệnh script được thiết kế đặc biệt.

Lỗ hổng được phát hiện ngày 6/3 và hôm qua chính thức được công bố. Theo Lee Dagon, Giám đốc nghiên cứu phát triển của GreyMagic Software, khiếm khuyết có thể cho phép tin tặc ăn cắp password, truy nhập vào các nội dung e-mail mà nạn nhân đã mở hoặc thậm chí phát tán sâu thông qua thư điện tử. Dagon cho biết: “Hotmail và Yahoo đã làm tất cả những gì có thể để ngăn ngừa script chạy trong một thông điệp e-mail. Tuy nhiên, chúng tôi vẫn phát hiện ra một cách qua mặt công cụ lọc của họ để những đoạn phần mềm này vẫn chạy được”.

Script là một tập chỉ lệnh dùng để báo cho chương trình biết cách thực hiện một thủ tục quy định, chẳng hạn như đăng nhập vào hệ thống e-mail. Khả năng script được cài sẵn trong một số chương trình và được viết bằng ngôn ngữ lập trình kiểu như mini. Script cũng giống như macro, chỉ khác là thuật ngữ macro thì dành riêng cho những script nào được khởi đầu bằng cách ấn một tổ hợp phím nhất định.

Về mặt kỹ thuật, khiếm khuyết nói trên là một dạng lỗi có tên “scripting liên trang”. Những lỗi như thế này mở rộng khả năng khai thác các thiếu sót an ninh của một website để chuyển những lệnh (command) có khả năng gây hại sang một địa chỉ khác hoặc một máy tính khác. Một tổ chức chuyên về an ninh cho các ứng dụng web coi khiếm khuyết này là nguy cơ số 1 mà các website thương mại điện tử phải đối mặt.

Khiếm khuyết liên quan đến một module HTML+TIME hiếm khi được sử dụng trong Internet Explorer (IE). Module này cho phép trình duyệt web bổ sung công cụ đặt giờ và đồng bộ hóa dữ liệu (synchronization) vào các trang web. Tuy nhiên, bản thân lỗi này lại không nằm trong IE hay Outlook. Dagon nói: “Script trong Outlook sẽ phải dựa vào một khiếm khuyết thứ hai để gây ra thiệt hại thực sự. Tuy nhiên, khi một script đang chạy trên dịch vụ web, nó có thể truy nhập lập tức vào toàn bộ hộp thư”.

Từ ngày 11/3, Microsoft đã phối hợp với GreyMagic khắc phục khuyết điểm này bằng cách lọc tất cả các đoạn script có tiềm năng phá hoại ngay ở các máy chủ Hotmail. Đại diện của hãng phần mềm cho biết khách hàng sử dụng mạng thư miễn phí này hiện đã được bảo vệ hoàn toàn. Trong khi đó, Yahoo tuyên bố chiều qua rằng, họ hy vọng cũng sẽ sớm khắc phục được trục trặc.

Phan Khương (theo CNet, InfoWorld)

Các tin khác
[Trở về]