Một lỗi bảo mật chết người trong Windows Media Player có thể bị tin tặc lợi dụng để bắt cóc PC hoặc tấn công vào bất kỳ một lỗi bảo mật chưa được khắc phục nào trong trình duyệt Internet Explorer đã vừa được khám phá.
 
Petko Petkov – chuyên gia nghiên cứu bảo mật đã phát hiện ra lỗi này – cho biết lỗi bắt nguồn từ thẻ XML “HTMLView Value”. Đây là thẻ XML được sử dụng để hỗ trợ các chuẩn định dạng tệp tin Windows Media Player như chuẩn định dạng “.asx” chẳng hạn.
 
“HTMLView có thể hiển thị bất kỳ một trang web nào trực tiếp trong Windows Media Player,” chuyên gia Petkov cho biết. “Tôi xin nhắc lại là trang web được mở trong Windows Media Player chứ không phải trong trình duyệt.”
 
Chuyên gia Petkov cho biết ngay cả các hệ thống Windows XP SP2 chạy Internet Explorer 6 hoặc Internet Explorer 7 đều có thể bị tấn công. “Nguy hiểm hơn là cho dù bạn đang sử dụng Firefox thì bạn vẫn có thể bị tấn công nếu chấp nhận mở tệp tin từ một đường liên kết URL độc hại”.
 
Trong cuộc thử nghiệm tấn công được công bố thông qua trang blog chính thức của mình, chuyên gia Petkov đã cho chạy thử một đoạn mã tấn công, điều khiển Windows Media Player bung ra một cửa sổ pop-up với dòng thông báo đã “bắt cóc” thành công PC.
 
Phiên bản Windows Media Player 11 và 10 cho bung ra một cửa sổ để xác nhận yêu cầu thực thi chạy tệp tin theo đường dẫn chỉ định. Thao tác này có thể sẽ khiến người dùng nhận ra rằng họ đang bị tấn công và phòng tránh. Song các phiên bản cũ hơn không có chức năng này. Chúng tự động chạy luôn các tệp tin theo đường dẫn chỉ định.
 
Người phát ngôn của Microsoft cho biết hiện hãng đang tiến hành điều tra thêm thông tin về lỗi bảo mật nói trên song không đánh giá cao nguy cơ mà lỗi này có thể gây ra.
 
“Chúng tôi chưa ghi nhận được bất kỳ một vụ tấn công người dùng nào thông qua việc lợi dụng lỗi bảo mật nói trên. Chúng tôi sẽ có những bước đi cần thiết để bảo vệ người dùng”.

Hoàng Dũng - (Computerworld)

(Theo VnMedia)