[Cảnh Báo] Thông tin chi tiết lỗ hổng zero-day trên Microsoft Edge và IE được công bố, chưa có bản vá lỗi

Một nhà nghiên cứu bảo mật mới đây đã công khai các thông tin chi tiết và bằng chứng khai thác về hai lỗ hổng zero-day “chưa từng có” trong các trình duyệt web của Microsoft, bao gồm cả Microsoft Edge và IE. Tại thời điểm viết bài, cả hai lỗ hổng đều chưa được cập nhật bản vá.

[Cảnh Báo] Thông tin chi tiết lỗ hổng zero-day trên Microsoft Edge và IE được công bố, chưa có bản vá lỗi - CyberSec365.org

Cụ thể, trong hai lỗ hổng bảo mật chưa được vá này, có một lỗ hổng ảnh hưởng đến phiển bản mới nhất của trình duyệt web Microsoft Internet Explorer, một lỗ hổng ảnh hưởng đến phiên bản mới nhất của trình duyệt Microsoft Edge, cho phép kẻ tấn công từ xa bỏ qua Same Origin Policy (SOP)  trên trình duyệt web.

Same Origin Policy (SOP) là một tính năng bảo mật được triển khai trong các trình duyệt web nhằm giới hạn các trang web hoặc các tập lệnh không liên quan đến nhau không được can thiệp lẫn nhau.

Nói cách khác, nếu bạn truy cập một trang web bằng trình duyệt web, các trang web chỉ có thể lấy dữ liệu từ cùng muột tên miền mà trang web đó đã tải, SOP ngăn không cho website thực hiện bất kỳ yêu cầu nào nhằm đánh cắp dữ liệu người dùng hoặc tương tác với các website khác.

Tuy nhiên, theo James Lee, một nhà nghiên cứu bảo mật tự do 20 tuổi, cho biết lỗ hổng bảo mật này có thể cho phép một số website đã thực hiện các cuộc tấn công universal cross-site scripting (UXSS) để truy cập trái phép vào bất kỳ tên miền nào khi truy cập bằng trình duyệt của Microsoft.

Để thực hiện cuộc tấn công này, tin tặc cần phải dẫn dụ nạn nhân mở trang web chứa mã độc bằng các trình duyệt web của Microsoft, sau đó, tin tặc có thể tiến hành đánh cắp dữ liệu nhạy cảm của nạn nhân bao gồm session đăng nhập, cookie...., được lưu trên trình duyệt.

"The issue is within Resource Timing Entries in Microsoft Browsers which inappropriately leak Cross-Origin URLs after redirection," Lee told The Hacker News in an email.

 Sau khi xác định được lỗ hổng, Lee đã liên hệ với Microsoft để báo cáo về lỗ hổng báo mật này. Tuy nhiên, gần 10 tháng trôi qua, gã khổng lồ công nghệ đã không có bất kỳ phản hồi nào về vấn đề này.
The Hacker News đẫ tiến hành kiểm thử độc lập và xác nhận cả hai lỗ hổng zero-day đều đang tồn tại trên trình duyệt web Internet Explorer và Microsoft Edge mới nhất
Các lỗ hổng mới được tiết lộ tương tự như các lỗ hổng mà Microsoft đã vá năm ngoái trong các trình duyệt Internet Explorer (CVE-2018-8351) và Edge (CVE-2018-8545).
Theo dự đoán, với các thông tin chi tiết và bằng chứng khai thác được tiết lộ, tin tặc sec không mất quá nhiều thời gian để tiến hành các chiến dịch tấn công nhắm mục tiêu vào người dùng Microsoft. Nguy hiểm hơn, người dùng hiện không thể làm gì nhiều để phòng tránh các cuộc tấn công này cho đến khi Microsoft cung cấp các bản vá. Hiện tại, người dùng được khuyến cáo chuyển qua sử dụng Chrome hoặc Firefox

Nguồn: The Hacker News