Mozilla vá lỗ hổng SSL nghiêm trọng trên Firefox và Thunderbird

[WhiteHat News #ID:0911]

Mozilla đã phải vá khẩn cấp trình duyệt web mã nguồn mở Firefox ngay sau khi phát hiện trình duyệt này bị ảnh hưởng bởi tấn công giao thức SSL qua man-in-the-middle (MiTM).

Lỗ hổng tồn tại trên bộ phân tích cú pháp của thư viện các dịch vụ an ninh mạng (Network Security Services - NSS) của Firefox, dẫn đến việc trình duyệt có thể bị lừa chấp nhận những chứng thực RSA giả mạo.

Các cuộc tấn công MiTM tạo điều kiện cho những kẻ tấn công giả danh một ngân hàng hoặc một nhà cung cấp dịch vụ webmail, lừa người dùng tin rằng thông tin đăng nhập của họ đang được gửi tới đúng nhà cung cấp dịch vụ họ sử dụng.

Thông thường, người dùng sẽ nhận được cảnh báo chứng chỉ không hợp lệ. Tuy nhiên, cảnh báo này sẽ không xuất hiện khi cuộc tấn công MiTM diễn ra.

Thật may mắn, bản vá của các phiên bản Firefox và Thunderbird, bao gồm Firefox ESR 31.1.1, Firefox ESR 24.8.1, Thunderbird 31.1.1 và Thunderbird 24.8.1 đã được cập nhật lên NSS 3.16.2.1.

Ngoài ra, Firefox 32.0.3 và SeaMonkey 2.29.1 cũng vừa được cập nhật lên NSS 3.16.5.

Nguồn: The Register​