Google phát hiện một lỗi nghiêm trọng trong các trình duyệt web

Nhà nghiên cứu của Google đã phát hiện ra lỗ hổng nghiêm trọng trong các trình duyệt web có thể cho phép các trang web bạn truy cập ăn cắp nội dung nhạy cảm từ tài khoản trực tuyến cá nhân.

Jake Archibald đã phát hiện lỗ hổng nằm trong cách các trình duyệt xử lý yêu cầu về miền gốc của tệp âm thanh và video. Nếu lỗ hổng này được khai thác trái phép, kẻ tấn công từ xa hoàn toàn có thể đọc được nội dung trong thư điện tử Gmail hoặc tin nhắn Facebook của bạn.

Vì lý do bảo mật, các trình duyệt web hiện đại không cho phép các trang web thực hiện yêu cầu ngoài miền gốc đến một tên miền khác, trừ khi bất kỳ tên miền nào cho phép một cách rõ ràng. Điều đó có nghĩa là, nếu bạn truy cập một trang web trên trình duyệt của mình, nó chỉ có thể yêu cầu dữ liệu từ cùng một nguồn gốc mà trang web tải lên, ngăn nó thực hiện bất kỳ yêu cầu trái phép nào nhằm ăn cắp dữ liệu của bạn từ các trang web khác.

Tuy nhiên, trình duyệt web lại không phản hồi theo cách tương tự trong khi tìm nạp tệp phương tiện được lưu trữ trên các nguồn khác. Điều này cho phép trang web bạn truy cập và tải tệp âm thanh/video từ các miền khác nhau mà không bị hạn chế bởi điều gì. Hơn nữa, các trình duyệt cũng hỗ trợ phạm vi của tiêu đề và sử dụng một phần nội dung, nhằm cho phép các trang web phân phối một phần nội dung của tệp phương tiện lớn.

Archibald nhận thấy Mozilla FireFox và Microsoft Edge cho phép các thành phần của phương tiện truyền thông kết hợp dữ liệu hiển thị và không hiển thị, hoặc dữ liệu không hiển thị từ nhiều nguồn với nhau, để lại một khả năng tấn công tinh vi cho kẻ tấn công.

Hơn nữa, Archibald còn cho rằng lỗ hổng này có thể bị khai thác bởi một trang web độc hại bằng cách sử dụng tệp phương tiện được “nhúng” trên trang web. Nếu phương tiện này được tiến hành thì thì một phần nội dung từ máy chủ của chính nó được sử dụng, nhưng đồng thời cũng yêu cầu trình duyệt tìm lấy phần còn lại của tệp từ một miền khách, có nghĩa là nó sẽ tự động bắt buộc trình duyệt thực hiện yêu cầu đến một miền ngoài miền gốc. Đây là yêu cầu đáng lẽ ra nên bị hạn chế, nhưng trong tương lai sẽ thành công. Vì sao? Vì thực chất việc tổng hợp dữ liệu hiển thị và không hiển thị được cho phép đối với tệp phương tiện, dẫn đến việc cho phép một trang web đánh cắp nội dung từ một bên khác.

Archibald đã xuất bản video nhằm chứng minh chứng cho thấy trang web độc hại có thể ăn cắp thông tin cá nhân của bạn từ các trang web như Gmail và Facebook như thế nào. Vì Chrome và Safari đã có chính sách từ chối các yêu cầu ngoài miền gốc ngay khi họ thấy bất kỳ sự chuyển hứng dữ liệu nên người dùng của họ đã được bảo vệ.

“Tôi tin rằng Chrome đã có một vấn đề bảo mật tương tự từ lâu, nhưng thay vì chỉ sửa chữa không thì việc này nên đã được viết thành một tiêu chuẩn, và các kiểm nghiệm sau cần phải được viết cho các trình duyệt khác để kiểm tra” Archibald nói.

FireFox và Edge là 2 trình duyệt dễ bị ảnh hưởng bởi vấn đề này nhất. Họ cũng đã sửa chữa lỗ hổng trong các phiên bản mới nhất sau khi Archibald báo cáo trách nhiệm cho các nhóm bảo mật của cả 2 công ty. Do đó, người dùng được khuyên nên sử dụng phiên bản mới nhất của các trình duyệt này.

THN