Một lỗi bảo mật chết người mới có thể giúp những kẻ lừa đảo trực tuyến hợp pháp hoá website độc hại của chúng lại vừa được phát hiện trong Internet Explorer 7.

Người phát hiện lỗi bảo mật phishing nói trên - chuyên gia bảo mật Aviv Raff - cho biết lỗi phát sinh trong phương thức xử lý trang thông báo lỗi HTML được lưu trữ trực tiếp trên PC.

Đây là trang web được hiển thị thay thế trong cửa sổ trình duyệt mỗi khi người dùng nhắp chuột vào nút "STOP" để ngừng việc truy cập vào một trang web nào đó.

Nội dung của trang báo lỗi trên cho biết người dùng đã ngừng việc truy cập vào trang web hiện thời và đề xuất nên "refresh lại". Đây chính là khâu phát sinh lỗi trong IE 7. Nếu người dùng nhắp chuột vào liên kết "refresh lại" thì IE 7 có thể bị lừa hiển thị một trang web hoàn toàn khác với trang web mục tiêu.

Bên cạnh việc thông báo lỗi bảo mật chuyên gia Raff cũng công bố một đoạn mã khai thác để minh chứng rõ cách thức IE 7 bị lừa hiển thị một trang web của ông trong khi đó trên thanh địa chỉ vẫn hiển thị là "cnn.com".

Raff cảnh báo lỗi bảo mật này có thể bị những kẻ lừa đảo trực tuyến lợi dụng để biến những trang web độc hại của chúng thành website hợp pháp.

"Tôi có thể chèn một đoạn mã cho phép hiển thị bất kỳ một thứ gì theo ý muốn của tôi vào cửa sổ trình duyệt mỗi khi người dùng nhắp chuột vào liên kết "refresh lại". Nếu kết hợp lỗi này với lỗi thiết kế thì kẻ tấn công có thể hiển thị bất kỳ một thứ gì mà chúng muốn trong cửa sổ trình duyệt với bất kỳ tên miền nào trên thanh địa chỉ".

Đây là dạng lỗi kiểu tấn công liên trang XSS (cross-site scripting). IE 7 cho Windows Vista và Windows XP đều mắc lỗi này.

Microsoft hiện chưa xác nhận kết quả nghiên cứu của Raff nhưng khẳng định hãng đang tiến hành điều tra thêm về vấn đề này. Cho đến nay chưa có bất kỳ một vụ tấn công người dùng thông qua việc lợi dụng lỗi của Raff được phát hiện.

Hoàng Dũng - (PC WORLD)

(Theo VnMedia)