Internet Expolorer vẫn là một đứa trẻ có vấn đề

Internet Explorer still a problem child

28 January 2010, 12:52

Theo: http://www.h-online.com/security/news/item/Internet-Explorer-still-a-problem-child-916160.html

Bài được đưa lên Internet ngày: 28/01/2010

Lời người dịch: Mọi người sử dụng còn chưa hoàn hồn với lỗi mang tính sống còn trong trình duyệt Internet Explorer (IE) của Microsoft từng gây ra các vụ tấn công vào Google và hàng chục hãng Mỹ khác, dẫn tới việc Đức, Pháp và Úc khuyến cáo người sử dụng không dùng IE mà nên chuyển qua một trình duyệt khác, thì nay Jorge Luis Alvarez Medina từ Core Security có kế hoạch trình bày những chỗ bị tổn thương mà chúng có thể bị khai thác bởi một website gian lận để đọc các tệp tùy ý từ một máy tính cá nhân Windows tại hội nghị về an ninh Mũ Đen sẽ được tổ chức vào ngày 03/02 sắp tới. Bài này cũng khuyến cáo mọi người chuyển sang sử dụng một trình duyệt khác như Firefox, Chrome hoặc Opera.

Microsoft có thể không thấy yên ổn với Internet Explorer. Tại hội nghị về an ninh Mũ Đen sắp tới, chuyên gia về an ninh Jorge Luis Alvarez Medina từ Core Security có kế hoạch trình bày những chỗ bị tổn thương mà chúng có thể bị khai thác bởi một website gian lận để đọc các tệp tùy ý từ một máy tính cá nhân Windows.

Vấn đề này được coi là không mới và dựa trên sự thất bại về các thiết lập vùng an ninh của Internet Explorer khi một lối được mở ra trong định dạng qui ước đặt tên thống nhất UNC trong trình duyệt này (\\127.0.0.1\pfad\dateiname). Điều này có nghĩa là theo những điều kiện đặc biệt nào đó thì JavaScript từ vùng Internet có thể truy cạp được các tệp cục bộ, bất chấp thực tế là mô hình vùng này được dự kiến để ngăn cản điều này. Medina sẽ đưa ra các chi tiết về chỗ bị tổn thương này tại hội nghị Mũ Đen vào ngày 03/02 này.

Core Security đã nói 2 chỗ bị tổn thương liên vùng khác đối với Microsoft vào năm 2008 và 2009 (ở đây và ở đây), mà đối với chúng Microsoft đã đưa ra các bản cập nhật. Tuy nhiên, cho tới nay, Microsoft đã chỉ vá những thứ mà không động tới các vấn đề cốt lõi thực sự. Có những con đường khác cho việc đi quanh mô hình vùng. Theo Medina, những con đường này rất khó để khóa, vì chúng liên quan tới các chức năng cơ bản của trình duyệt này được thiết kế để cho phép nó làm việc trong suốt với các ứng dụng khác.

Tất cả các phiên bản của Internet Explorer, từ phiên bản 6 cho tới 8, trên tất cả các phiên bản của Windows kể cả Windows 7 sẽ bị ảnh hưởng. Microsoft được cho là đã đã thông báo về vấn đề này và sẽ phải làm việc với Core Security về một giải pháp. Chưa có báo cáo nào về các cuộc tấn công thành công sử dụng chỗ bị tổn thương này. Tới nay cả Medina lẫn Microsoft còn chưa đưa ra bất kỳ tư vấn nào để bảo vệ.

Microsoft can find no peace with Internet Explorer. At the forthcoming Black Hat security conference, security specialist Jorge Luis Alvarez Medina from Core Security plans to demonstrate vulnerabilities which can be exploited by a crafted website to read arbitrary files from a Windows PC.

The problem is reportedly not new and is based on the failure of Internet Explorer's security zone settings to bite when a path is entered in UNC (Uniform Naming Convention) format in the browser (e.g. \\127.0.0.1\pfad\dateiname). This means that under specific conditions JavaScript from the Internet Zone can access local files, despite the fact that the zone model is intended to prevent this. Medina is to publish details of the vulnerability at the Black Hat conference on the 3rd of February.

Core Security reported two other such cross-domain vulnerabilities to Microsoft in 2008 and 2009 (here and here), for which Microsoft released updates. So far, however, Microsoft has merely patched things up without addressing the actual core problem. There are other routes for getting around the zone model however. According to Medina, these routes are very hard to block, since they relate to fundamental functions of the browser designed to enable it to work seamlessly with other applications.

All versions of Internet Explorer, from version 6 to 8, on all versions of Windows including Windows 7 are affected. Microsoft is reported to have been informed of the problem and to be working with Core Security on a solution. There are no reports of successful attacks making use of this vulnerability. To date neither Medina nor Microsoft have issued any advice on protection.

Mới chỉ tuần trước, Microsoft đã bị ép phải đưa ra một miếng vá khẩn cấp để sửa một chỗ bị tổn thương mang tính sống còn trong trình duyệt của hãng mà nó được cho là đã được sử dụng bởi các tin tặc Trung Quốc để thâm nhập vào Google, Adobe và các doanh nghiệp Mỹ khác.

Người sử dụng phải xem xét việc sử dụng một giải pháp thay thế, như Firefox, Chrome hoặc Opera. Dù những trình duyệt này cũng có chứa các chỗ bị tổn thương mang tính sống còn về an ninh - với các lập trình viên thường xuyên sửa các lỗi mang tính sống còn, đặc biệt là trong Firefox - thì cho tới nay hầu như không có các khai thác ngày số 0 đối với những chỗ bị tổn thương này. Bọn tội phạm tiếp tục tập trung các cuộc tấn công của chúng vào Internet Explorer. Tuy nhiên, thị phần của Firefox có thể có nghĩa rằng nó sẽ sớm thấy tự nó tăng trưởng.

Just last week, Microsoft was forced to release an emergency patch to fix a critical vulnerability in its browser which is thought to have been used by Chinese hackers to penetrate Google, Adobe and other US businesses.

Users should consider using an alternative, such as Firefox, Chrome or Opera. Although these browsers also contain critical security vulnerabilities – with developers frequently fixing critical bugs in Firefox in particular – there have so far been almost no zero day exploits for these vulnerabilities. Criminals continue to concentrate their attacks on Internet Explorer. Firefox's growing market share may mean, however, that it too could soon find itself under increasing fire.

Dịch tài liệu: Lê Trung Nghĩa

letrungnghia.foss@gmail.com