Mac OS, Linux cũng dính lỗi URI

Giới nghiên cứu bảo mật cảnh báo không chỉ có Windows mà cả các hệ điều hành khác như Mac OS hay Linux cũng dính lỗi chết người trong việc xử lý URI (Uniform Resource Identifier).

Nathan McFeters - một trong số những chuyên gia thời gian qua đã đầu tư nghiên cứu rất kỹ lỗi bảo mật URI - cho biết ông sẽ trình bày chi tiết thông tin về lỗi bảo mật xử lý thủ tục URI trong Mac OS X và Linux tại Hội thảo Toorcon được tổ chức tại San Diego trong tuần tới.

Trong một cuộc phỏng vấn mới đây, ông McFeters cho biết không chỉ có Mac OS X và Linux mà hầu như các hệ điều hành được phát triển trên nền tảng Unix đều mắc lỗi URI. Hiện ông chưa tìm được giải pháp khai thác lỗi URI để chạy mã bất hợp pháp trên những hệ điều hành. Song những phát hiện của ông và đồng nghiệp có thể sẽ mở đường cho những nghiên cứu sâu hơn về lỗi này.

Trọng tâm công việc nghiên cứu của McFeters và đồng nghiệp trong thời gian qua là phương thức lợi dụng công nghệ xử lý thủ tục URI để khởi động các ứng dụng khác trên PC trực tiếp từ trình duyệt web.

URI là thủ tục được dùng rất phổ biến trong thẻ “mailto” chuyên dùng để gọi ứng dụng gửi nhận thư điện tử từ trình duyệt web. Song bất kỳ một nhà phát triển phần mềm nào cũng đều có thể đăng ký phần mềm của họ với hệ điều hành cho phép ứng dụng có thể được gọi ra theo phương thức trên mà không cần phải qua bất kỳ giai đoạn kiểm tra an ninh nào khác.

Tin tặc đã tìm được nhiều cách để vận hành phần mềm bất hợp pháp trên PC bằng cách tạo ra những đường liên kết web đặc biệt có sử dụng thủ tục URI gọi một số ứng dụng hay được dùng nhất.

Cuối tháng trước, McFeters và đồng nghiệp Billy Rios đã cho công bố chi tiết lỗ hổng bảo mật trong phần mềm Google Picasa cho phép tin tặc có thể xem bất kỳ bức ảnh số nào trong phần mềm. Đây cũng là lỗi bảo mật URI. Ngoài ra lỗi này còn tồn tại trên một số phần mềm khác như Adobe Reader, Firefox và Outlook Express.

Microsoft cho biết hãng đã có kế hoạch cho khắc phục lỗi bảo mật chết người nói trên cho hệ điều hành Windows trong thời gian tới.

Hoàng Dũng