Lỗi nguy hiểm trong trình duyệt IE bị tấn công

Phóng to

Sự phổ biến của trình duyệt web Internet Explorer khiến nó là mục tiêu tấn công của hacker trong suốt thời gian qua - Ảnh: PCWorld

Lỗi được Microsoft xác nhận trong tuần qua, nhưng chỉ vài ngày sau giới bảo mật bắt đầu cảnh báo vì xuất hiện dấu hiệu khai thác lỗi tràn lan trên mạng.

Không chỉ thuộc dạng zero-day (*), lỗi bảo mật này còn có tầm ảnh hưởng rộng lên tất cả các phiên bản trình duyệt web IE (từ IE6 - IE11). Kẻ xấu có thể thực thi mã từ xa trong IE bằng cách tạo ra một trang web chứa mã khai thác, dẫn dụ nạn nhân truy cập vào bằng IE.

Giới bảo mật cảnh báo đang có nhiều cuộc tấn công khai thác lỗi trên nhắm vào người dùng sử dụng IE8 và IE9, nhưng cũng lo ngại sẽ sớm mở rộng ra nhóm người dùng IE10 và cả phiên bản IE11 mới nhất trong Windows 8.1. Mã khai thác lỗi IE sẽ sớm được đưa vào các công cụ tấn công tự động, do đó những đợt tấn công lan rộng hơn.

Chống đỡ tạm thời

Mặc dù Microsoft có phát hành ngay một công cụ hiệu chỉnh hệ thống tạm thời Fix It để tránh bị khai thác lỗi nhưng nó không phải là một giải pháp phòng vệ hoàn thiện trước nguy cơ bảo mật này.

Microsoft khuyến cáo người dùng nên chuyển chế độ phòng vệ của IE lên mức cao (High), vào Tools Internet Options Security Custom Level, chọn mức "High" ở "Reset custom settings" ở cả hai vùng Internet và Local Intranet. Đồng thời cấu hình cho IE hiển thị bảng xác nhận hoặc khóa hẳn chức năng thực thi mã khi trang web yêu cầu (Active Scripting) trong Internet và Local Intranet.

Khi không cần thiết phải dùng đến IE, các chuyên gia bảo mật khuyến cáo nên dùng tạm các trình duyệt web khác cho đến khi Microsoft phát hành bản vá lỗi theo định kỳ vào ngày 8-10.

* Lỗ hổng zero-day (hay 0-day) là cách gọi những lỗ hổng bảo mật bị kẻ xấu khai thác trước khi hãng phần mềm hay bộ phận an ninh có liên quan kịp nhận biết và tung ra cách khắc phục. Khi một lỗ hổng bị xếp loại "zero-day" có nghĩa phần mềm chứa lỗ hổng đó đã bị tấn công và khai thác. Nếu lỗ hổng được nhà sản xuất phát hiện trước khi bị kẻ xấu khai thác, nó sẽ không được gọi là "zero-day".