- Lỗi bảo mật nguy hiểm trong trình duyệt Chrome có thể bị tin tặc lợi dụng để lừa người dùng tải về mã độc đã được Google khắc phục sau hơn một tháng được phát hiện.

Song để có thể khai thác được lỗi này tin tặc cần phải kết hợp với một lỗi có tên “carpet bomb” tồn tại trong trình duyệt Safari của Apple. Chính vì thế chỉ có những PC chạy song song Chrome và Safari mới có nguy cơ bị tấn công.

Lỗi này không phải chỉ có Google Chrome mà cả Internet Explorer và Firefox cũng mắc phải. Trước đây, Microsoft còn lên tiếng kêu gọi người dùng từ bỏ dùng Safari khi hãng chưa có bản sửa lỗi nhằm tránh nguy cơ bị tin tặc tấn công.

Chuyên gia bảo mật Aviv Raff - người phát hiện lỗi Google Chrome - cho biết bản vá được Google phát hành mới đây chỉ tạm đủ bảo vệ người dùng trong giai đoạn hiện tại. Google sẽ phải tiếp tục sửa lỗi thêm.

Đây là điều chắc chắn bởi thực tế bản sửa lỗi chỉ dành cho phiên bản Chrome cho các nhà phát triển ứng dụng chứ chưa phát hành tới tay đại đa số người dùng trình duyệt này. Để có thể nhận được cập nhật sửa lỗi người dùng Chrome cần có thêm sự hỗ trợ của Channel Chooser Plug-in.

Với bản sửa lỗi nói trên, Chrome đã thay đổi hoàn toàn phương thức tải về các tệp tin có khả năng thực thi như tệp tin đuôi “.exe” hay “.dll” và “.bat”. “Những tệp tin đuôi như thế này sẽ được tải về theo định dạng tệp tin unconfirmed_*.download. Khi nào người dùng chấp nhập tải về thì tệp tin mới được trả lại đúng tên thực của nó,” Mark Larson - giám đốc phụ trách Chrome - cho biết.

Với cách này, ông Larson khẳng định người dùng có thể nhìn thấy rõ ràng tệp tin được tải về và hoàn toàn biết được đó là tệp tin thực thi hay không.

“Nhưng với một số người dùng không có nhiều kiến thức vẫn khó có thể nhìn thấy được cái tên thật sự của tệp tin được tải về  - chuyên gia Raff nhấn mạnh - Chrome sẽ tự động xóa tệp tin này khi người dùng đóng trình duyệt lại. Nhưng nếu Chrome bị treo cứng và ngừng hoạt động thì sao? Tệp tin vẫn sẽ tồn tại trên PC. Nếu đó là mã độc thì có nghĩa người dùng vẫn còn nguy cơ bị tấn công”.

Chuyên gia Raff khuyến cáo cách thức an toàn nhất là cấm trình duyệt tải về các tệp tin nếu chưa nhận được sự chấp thuận của người dùng.

TRANG TRẦN (Computerworld)

(Theo TTO)