Công ty cổ phần An ninh mạng Việt Nam phát đi cảnh báo về một lỗ hổng bảo mật nghiêm trọng trên Chrome mang tên CVE-2020-15999.
Lỗ hổng được gắn mã CVE-2020-15999 – cho phép tin tặc có thể chiếm quyền máy tính, từ đó thực thi các mã tùy ý từ xa để điều khiển và thâm nhập sâu vào máy nạn nhân. Ở thời điểm lỗ hổng này được báo cáo cho nhà cung cấp, nó được xếp loại Zero Day – lỗ hổng nguy hiểm bậc cao chưa có bản vá.
Lỗ hổng này được phát hiện và báo cáo bởi nhà nghiên cứu bảo mật Sergei Glazunov thuộc dự án “Google Project Zero” vào ngày 19.10, nhà cung cấp có 7 ngày để vá nó do luật khai thác lỗ hổng đã được Google công bố.Cụ thể, lỗ hổng này là một loại lỗ hổng tràn bộ đệm tồn tại trên Freetype – một thư viện phát triển phần mềm mã nguồn mở phổ biến, hỗ trợ hiển thị các phông chữ khác nhau trên trình duyệt phổ biến số 1 Việt Nam này.
Để khai thác lỗ hổng, tin tặc sẽ truyền ảnh định dạng PNG vào libpng (thư viện của Freetype) với kích thước chiều rộng hoặc chiều cao lớn hơn 65535. Vấn đề là libpng chỉ sử dụng các giá trị 32 bit, nên việc ảnh có kích thước lớn sẽ gây tràn bộ nhớ đệm.
Có thể bạn muốn xem: Apple thưởng 7 tỷ đồng cho nhóm hacker phát hiện lỗ hổng bảo mật
Lợi dụng lỗi này, tin tặc có thể thực hiện các mã lệnh thực thi tùy ý từ xa để điều khiển máy tính nạn nhân và xem được các thông tin nhạy cảm. Nguy hiểm hơn nếu máy tính nạn nhân nằm trong mạng nội bộ của doanh nghiệp, đây hoàn toàn có thể trở thành cửa ngõ dẫn tin tặc xâm nhập vào hệ thống CNTT của đơn vị, gây lũng đoạn hệ thống hay ăn cắp thông tin mật.
Nhà cung cấp cho biết họ đã phát triển một bản vá khẩn cấp để giải quyết vấn đề vào ngày 20.10 với việc phát hành FreeType 2.10.4, đại diện Google Chrome cũng cho biết hãng đã cập nhật bản vá này trong phiên bản mới nhất.
Bên cạnh lỗ hổng FreeType zero-day, Google cũng vá bốn lỗ hổng khác trong bản cập nhật Chrome mới nhất, ba trong số đó là lỗ hổng có nguy cơ cao – một lỗi triển khai không phù hợp trong Blink, lỗi trong media của Chrome và lỗi trong PDFium – và một lỗ hổng trung bình trong chức năng in của trình duyệt.
Các chuyên gia bảo mật đến từ Công ty cổ phần An ninh mạng Việt Nam khuyến nghị người dùng nên cập nhật Chrome phiên bản mới nhất đã được khắc phục các lỗ hổng trên. Tuy nhiên, mặc dù trình duyệt web Chrome tự động thông báo cho người dùng về phiên bản mới nhất hiện có, người dùng nên kích hoạt quá trình cập nhật theo cách thủ công bằng cách đi tới Trợ giúp → Giới thiệu về Google Chrome, từ menu (Help → About Google Chrome).
