Google vá lỗi giả mạo địa chỉ trên Chrome

[Ginny Hà]

Sau gần một tháng tranh cãi, cuối cùng Google cũng “đồng ý” vá một lỗ hổng an ninh tiềm ẩn trên Google Chrome, có thể bị khai thác để làm giả URL hiển thị trên thanh địa chỉ của trình duyệt.

David Leo, chuyên gia nguyên cứu của công ty Deusen (Anh) phát hiện ra lỗ hổng vào đầu tháng 6/2015. Để minh chứng cho sự hiện diện của lỗ hổng này, Leo đã thực hiện hiển thị một nội dung tùy ý trong khi trình duyệt vẫn hiện địa chỉ truy cập là trang oracle.com. Nhiều chuyên gia an ninh mạng khác cho rằng lỗ hổng còn có thể được sử dụng để giả mạo các trang web sử dụng giao thức HTTPS.

“Khi Google Chrome tải trang mới, nội dung của trang web cũ vẫn được lưu lại trong một thời gian ngắn”, Leo chia sẻ với phóng viên của SecurityWeek.

Google nhận được thông tin về lỗ hổng vào ngày 7/7, tuy nhiên, hãng cho biết những nghiên cứu ban đầu cho thấy đây không phải là vấn đề an ninh bởi người dùng không thể tương tác với nội dung giả mạo trên trình duyệt.

Bên phát triển Chrome cho biết lỗi này gần giống với “tấn công từ chối dịch vụ” và có thể sẽ không được vá do không thể khai thác để sử dụng cho mục đích lừa đảo. Tuy nhiên, các chuyên gia lại cho rằng lỗi này có thể gây ra vấn đề về an ninh cho trình duyệt.

Một ví dụ cụ thể, bất kì tên miền nào cũng có thể được xây dựng trông giống như trang web của một doanh nghiệp được chứng nhận bởi BBB. Hơn nữa, kẻ xấu cũng có thể tận dụng chính lỗi được công bố để truyền tải những thông điệp đại loại như “Chúng tôi yêu Nhà nước Hồi giáo” trên tên miền thuộc về Nhà Trắng. Các chuyên gia cũng cho rằng các phần mềm độc cũng có thể khai thác lỗi để hiển thị thông báo trên một tên miền uy tín nhằm hướng dẫn người dùng thực hiện cuộc gọi đến một số điện thoại bất kì.

Một kịch bản khác được đưa ra bởi cố vấn IT Sijmen Ruwhof là khởi tạo trang lừa đảo thông thường, cho phép người dùng tương tác và tận dụng lỗi để hiển thị tạm thời nội dung của website chính thức. Sau vài giây, trang này sẽ được tải lại, điều này cho phép tội phạm mạng thu thập thông tin của người dùng.

“Sau hai giây quá trình giả mạo kết thúc, như thế là đủ cho người dùng nhìn thấy đường dẫn trên thanh địa chỉ, xác định trang thông tin truy cập và bắt đầu điền vào các mẫu thông tin được yêu cầu”, Ruwhof cho biết.

Đầu tháng 7, bên phát triển Chrome xem xét lại và thừa nhận rằng đây thực sự là một nguy cơ về an ninh.

Charlie Reis, kĩ sư phần mềm phụ trách mảng trình duyệt Chrome của Google, vào hôm thứ ba cho biết lỗi này “xứng đáng” để được vá, “dù cho các cuộc tấn công khai thác sẽ không nghiêm trọng như các kiểu giả mạo URL thông thường khác, khi các trang giả mạo có cho phép sự tương tác từ người dùng”.

Không ít người dùng cho biết họ có thể thể giả mạo địa chỉ theo cách này trên một số phiên bản của 2 trình duyệt Firefox và Opera.

Lỗi này dường như đã bị bỏ ngỏ trong nhiều năm. Một nhà nghiên cứu đã từng báo cáo tìm được lỗi tương tự vào năm 2012, nhưng khi đó người này không thể thực hiện việc cho phép người dùng thao tác trên trang giả mạo, khiến cho lỗ hổng vẫn không được vá.

Theo: Security Week​