Google vá liên tiếp 2 lỗi

[MauuTimmToiiYeuu]

Google vá liên tiếp 2 lỗi

Trang web dịch vụ tính phí của Google, ngụy tạo nhờ lỗi của công cụ tìm kiếm.


Hôm qua, hãng dịch vụ tìm kiếm vừa vá một lỗ hổng bảo mật trong công cụ search, cho phép hacker thay đổi nội dung trang kết quả. Tuy nhiên, một lỗi khác tương tự đã lại xuất hiện.

Lỗ hổng bảo mật liên quan đến dịch vụ Custom WebSearch, cho phép bên thứ ba là các website hoặc cổng thông tin Internet sử dụng máy chủ của Google để tìm kiếm các nội dung trên trang web của họ. Một lỗi trong máy chủ của Google cho phép hacker đặt một đoạn mã javascript thay vì liên kết trong các file ảnh. Từ đó, chúng có thể thay đổi diện mạo trang kết quả tìm kiếm hay ăn cắp dữ liệu.

Phát ngôn viên Nathan Tyler của Google xác nhận: “Google gần đây được báo động về một lỗ hổng bảo mật có nguy cơ tiềm tàng ảnh hưởng đến người dùng. Chúng tôi đã khắc phục ngay vấn đề này và mọi người dùng hiện tại cũng như tương lai của Google.com luôn được bảo vệ”. Theo Tyler, Google cũng đã được biết về lỗ hổng thứ 2, do hãng bảo mật Anh Netcraft phát hiện, và sẽ nhanh :Dng xử lý.

Lỗi của dịch vụ Custom WebSearch được thông báo lần đầu tại diễn đàn bảo mật trực tuyến Bugtraq. Các máy chủ của Google không thể thẩm định URL (uniform resource locator) của các file ảnh. Vì thế, hacker có thể khai thác lỗi này với mẫu tìm kiếm tùy biến của Google, hoặc thậm chí thông qua một liên kết đánh dấu siêu văn bản (HTML) bằng cách đưa một đoạn mã vào máy chủ thay vì URL của ảnh.

Theo Jim Ley, người phát hiện lỗi, lỗ hổng trên xuất hiện đã 2 năm nay và Google đã được nhắc nhở 2 lần mà không hề sửa. Sự ra mắt gần đây của công cụ tìm kiếm trên PC làm nguy cơ khai thác lỗi càng trầm trọng hơn vì hacker có thể sử dụng tính năng Desktop Search để tìm kiếm và ăn cắp các nội dung như mật khẩu hoặc thông tin tài chính từ các tập tin trong ổ cứng nội bộ. Để chứng minh, Ley đặt một liên kết tại website http://www.jibbering.com, thay thế trang chủ của Google bằng một trang thông báo, tuyên bố hãng tìm kiếm đang chuẩn bị cung cấp một dịch vụ có thu phí và đề nghị người dùng cung cấp thông tin thẻ tín dụng để đăng ký.

Lỗi giống như của Google là vấn đề bảo mật thường gặp tại các website có tính năng tự động tạo ra trang web động dựa trên đầu vào từ những nguồn không rõ. Lỗi này từng được nhắc đến trong một văn bản của nhóm thường trực phản ứng nhanh tại Đại học Carnegie Mellon (Mỹ) từ năm 2000. Ley cho biết, dường như các nhà phát triển của hãng tìm kiếm đã lờ đi lời cảnh báo 4 năm qua và không hề trả lời những bức e-mail tới tấp gửi tới địa chỉ thông báo về lỗ hổng bảo mật.

Để khắc phục, Google đã thay đổi mã để ngăn chặn javascript và vbscript, nhưng điều này có thể mở đường cho những kiểu tấn công khác. "Giải pháp này đòi hỏi Google phải tìm ra được tất cả mọi nguy cơ tiềm tàng mà họ có thể loại trừ… Trong khi đó có quá nhiều phương án để kích hoạt một đoạn mã. Dùng giải pháp này cho mọi tình huống là điều mang tính rủi ro rất cao”, Ley nhận xét trong một e-mail.

Ngay khi hãng tìm kiếm vừa vá lỗ hổng này, công ty bảo mật Netcraft (Anh) cho biết lại phát hiện một lỗi khác, có thể cho phép hacker “nhồi” các nội dung nguy hại vào website của Google để thực hiện các vụ lừa đảo ăn cắp thông tin cá nhân trực tuyến hoặc các mục đích khác. Đây cũng là lỗi script injection giống như lỗi Ley thông báo, nhưng được phát hiện trong một tính năng tìm kiếm mà bất cứ ai cũng có thể truy cập được.

Netcraft từ chối cung cấp chi tiết về lỗ hổng bảo mật mới. Hãng đã thông báo cho Google và lỗi này sẽ được vá trong hôm nay