Lỗ hổng trên Bugzilla có thể “làm lộ” lỗi 0-day trên Mozilla, Red Hat

[Ginny Hà]

Hãng bảo mật Check Point Software Technologies sử dụng lỗi trên ngôn ngữ lập trình Perl để tấn công vào hệ thống theo dõi lỗ hổng Bugzilla, chèn thêm 4 người dùng vào nhóm quản trị, cho phép xem thông tin về các lỗ hổng chưa được tiết lộ.

Cụ thể, lợi dụng một loại lỗi mới được hãng phát hiện trong ngôn ngữ lập trình Perl, Check Point tạo các chuỗi text đặc biệt và qua mặt thành công cơ sở dữ liệu người dùng của Bugzilla, tạo thêm các tài khoản quản trị cho mozilla.com, mozilla.org,
bugzilla.org

“Hình thức này không phải tấn công SQL injection mà là một dạng khá mới. Đây là 1 phần kết quả của nghiên cứu được chúng tôi thực hiện trong mấy tháng qua về 1 vấn đề cụ thể trên ngôn ngữ Perl. Bugzilla là ví dụ điển hình, tuy nhiên không phải là dự án duy nhất chúng tôi có thể tìm ra lỗi”, Shahar Tal, trưởng nhóm nghiên cứu của Check Point cho hay.

Dù bản vá mới chỉ được Bugzilla công bố ngày thứ 2 vừa qua, hãng đã thông báo cho các dự án lớn nhất về lỗ hổng ngay sau khi có thông tin từ Check Point. Gần 150 hãng phát triển phần mềm và dự án mã nguồn mở lớn nhất, từ Mozilla, OpenOffice đến Red Hat và lõi Linux sử dụng Bugzilla để kiểm tra lỗ hổng trong các sản phẩm của mình.

Dù lỗi mới phát hiện trên ngôn ngữ lập trình Perl có vẻ khá thú vị, việc khai thác thành công hay không còn phụ thuộc vào cách thức mà Bugzilla, hoặc những công ty, dự án mã nguồn mở có sử dụng Bugzilla, cấu hình hệ thống của mình. Ví dụ, để đơn giản hóa việc quản trị, Mozilla cho phép thêm những địa chỉ email được xác định là phù hợp với một chuỗi cụ thể, ví dụ những email được kết thúc bằng chuỗi “bugzilla.org”, vào nhóm quản trị viên. Trong kỹ thuật lập trình, đây được gọi là “biểu thức chính quy” (regular expression - regex), là cách phổ biến để tự động hóa hệ thống.

Theo Check Point, khai thác thành công lỗ hổng, kẻ xấu có thể tác động đến bất kỳ trường dữ liệu nào tại vùng người dùng, bao gồm cả trường tên đăng nhập. Từ đó, quá trình xác thực email bị phá vỡ, cho phép hacker tạo mới các tài khoản phù hợp với các nguyên tắc regex, trở thành người dùng đặc quyền.

Theo Gervase Markham, lập trình viên dự án Bugzilla của Mozilla, mô hình code có vấn đề xuất hiện 15 lần trong mã nguồn của chương trình, 4 trong đó có thể đã bị khai thác bởi hacker.

Nguồn: Arstechnica ​