WhiteHat News #ID:2112
VIP Members
-
16/06/2015
-
83
-
672 bài viết
Google một lần nữa tiết lộ lỗ hổng chưa được vá trong Windows
Google một lần nữa công khai tiết lộ một lỗ hổng chưa được vá (kèm mã khai thác) ảnh hưởng đến các hệ điều hành Windows của Microsoft từ Windows Vista Service Pack 2 đến Windows 10.
Vài tháng trước, gã tìm kiếm khổng đã tiết lộ ra công chúng một lỗ hổng nghiêm trọng trong Windows chỉ mười ngày sau khi thông báo cho Microsoft về lỗ hổng này.
Tuy nhiên, lần này Google chỉ tiết lộ lỗ hổng trong Windows sau khi Microsoft không vá lỗ hổng đó trong vòng 90 ngày theo chính sách của Google.
Thành viên nhóm Project Zero của Google, Mateusz Jurczyk, đã thông báo cho Microsoft về một lỗ hổng trong thư viện Graphics Device Interface (thư viện hỗ trợ hiển thị đồ họa lên thiết bị - GDI) của Windows vào ngày 9/6 năm ngoái.
Lỗ hổng này ảnh hưởng đến bất kỳ chương trình sử dụng thư viện này, và nếu bị khai thác, có thể cho phép tin tặc lấy cắp thông tin từ bộ nhớ.
Microsoft đã tung ra bản vá cho lỗ hổng vào ngày 15/6, nhưng không khắc phục được tất cả các vấn đề trong thư viện GDI, buộc nhóm Project Zero một lần nữa phải thông báo cho Microsoft về lỗ hổng, kèm theo POC vào ngày 16/11.
Theo Jurczyk, lỗ hổng có thể tiết lộ heap byte chưa khởi tạo hoặc out-of-bounds qua các màu pixel trong Internet Explorer và máy khách GDI khác, cho phép chiết xuất dữ liệu hình ảnh hiển thị ở phía tin tặc.
Sau khi hết thời hạn 3 tháng, Google đã công bố thông tin chi tiết về lỗ hổng cho công chúng, bao gồm cả hacker.
Dù người dùng Windows không cần phải hoảng sợ, vì tin tặc cần có quyền truy cập vật lý vào máy chủ để khai thác lỗ hổng, Microsoft vẫn cần phải phát hành một bản vá khẩn cấp trước khi các mã khai thác phức tạp được phát triển.
Microsoft gần đây đã hoãn phát hành bản vá Patch Tuesday của tháng 2 lại một tháng do "một vấn đề vào phút cuối có thể ảnh hưởng đến một số khách hàng và chưa được giải quyết trong bản cập nhật này” vào ngày 14/2.
Vì vậy, nếu không có bản vá khẩn cấp dự kiến trong tháng này, lỗ hổng mới tiết lộ này sẽ được bỏ ngỏ cho hacker khai thác trong gần một tháng.
Theo The Hacker News
Vài tháng trước, gã tìm kiếm khổng đã tiết lộ ra công chúng một lỗ hổng nghiêm trọng trong Windows chỉ mười ngày sau khi thông báo cho Microsoft về lỗ hổng này.
Tuy nhiên, lần này Google chỉ tiết lộ lỗ hổng trong Windows sau khi Microsoft không vá lỗ hổng đó trong vòng 90 ngày theo chính sách của Google.
Thành viên nhóm Project Zero của Google, Mateusz Jurczyk, đã thông báo cho Microsoft về một lỗ hổng trong thư viện Graphics Device Interface (thư viện hỗ trợ hiển thị đồ họa lên thiết bị - GDI) của Windows vào ngày 9/6 năm ngoái.
Lỗ hổng này ảnh hưởng đến bất kỳ chương trình sử dụng thư viện này, và nếu bị khai thác, có thể cho phép tin tặc lấy cắp thông tin từ bộ nhớ.
Microsoft đã tung ra bản vá cho lỗ hổng vào ngày 15/6, nhưng không khắc phục được tất cả các vấn đề trong thư viện GDI, buộc nhóm Project Zero một lần nữa phải thông báo cho Microsoft về lỗ hổng, kèm theo POC vào ngày 16/11.
Theo Jurczyk, lỗ hổng có thể tiết lộ heap byte chưa khởi tạo hoặc out-of-bounds qua các màu pixel trong Internet Explorer và máy khách GDI khác, cho phép chiết xuất dữ liệu hình ảnh hiển thị ở phía tin tặc.
Sau khi hết thời hạn 3 tháng, Google đã công bố thông tin chi tiết về lỗ hổng cho công chúng, bao gồm cả hacker.
Dù người dùng Windows không cần phải hoảng sợ, vì tin tặc cần có quyền truy cập vật lý vào máy chủ để khai thác lỗ hổng, Microsoft vẫn cần phải phát hành một bản vá khẩn cấp trước khi các mã khai thác phức tạp được phát triển.
Microsoft gần đây đã hoãn phát hành bản vá Patch Tuesday của tháng 2 lại một tháng do "một vấn đề vào phút cuối có thể ảnh hưởng đến một số khách hàng và chưa được giải quyết trong bản cập nhật này” vào ngày 14/2.
Vì vậy, nếu không có bản vá khẩn cấp dự kiến trong tháng này, lỗ hổng mới tiết lộ này sẽ được bỏ ngỏ cho hacker khai thác trong gần một tháng.
Theo The Hacker News
Chỉnh sửa lần cuối bởi người điều hành: