Lỗi bảo mật lớn trong Windows

Lỗ hổng có tên Thư viện ASN.1, ảnh hưởng tới rất nhiều tính năng của Windows, từ việc chia sẻ file giữa các PC cho đến những ứng dụng dùng các công cụ xác thực kỹ thuật số.

ASN (Abstract Syntax Notation) là một chuẩn quốc tế, dùng để trình bày các loại dữ liệu nhị phân khác nhau, chẳng hạn như chuỗi số hoặc các đoạn text. Thư viện ASN.1 cho phép các phần mềm ứng dụng chạy trong Windows xác định loại dữ liệu mà chúng chuyển đi chuyển lại, đồng thời tạo điều kiện cho hệ thống phiên dịch một cách chính xác những dữ liệu nhận được. Thư viện này đã trở thành một bộ phận tiêu chuẩn của Windows kể từ khi Windows NT phiên bản 4.0 ra đời.

Nếu bộ nhớ đệm trong ASN.1 không được kiểm tra, hacker có thể tấn công từ xa, gây tràn dữ liệu và khống chế máy tính Windows có khiếm khuyết. Trong các cuộc tấn công gây tràn bộ đệm, tin tặc sử dụng những lỗi trong mã chìm của chương trình phần mềm để viết đè lên các vùng trên bộ nhớ máy tính, thay thế những chỉ lệnh hợp pháp bằng dữ liệu giả và nhiều chỉ lệnh khác.

Theo đại diện của eEye Digital Security, nếu đây là một “chùm” khiếm khuyết thì sẽ còn phát hiện thêm những lỗ hổng khác. Hiện đã có bản vá lỗi nói trên nhưng thông thường khi đã xuất hiện một thì còn rất nhiều lỗi liên quan khác.

Trường hợp này đã từng xảy ra khi Microsoft thực thi DCOM (Distributed Component Object Model), một giao thức cho phép các chương trình phần mềm giao tiếp qua mạng. Chính một khiếm khuyết an ninh trong giao diện DCOM (có chức năng điều tiết lưu thông RPC) đã sinh ra sâu Blaster và nhiều vụ tấn công khác.

Lỗi ASN cũng có thể bị khai thác theo kiểu tương tự và tạo ra các loại sâu mạng. Tuy nhiên, khác với DCOM, việc tắt chức năng ASN khi sâu đã xuất hiện là rất khó bởi vì nó được sử dụng cùng lúc bằng nhiều ứng dụng khác nhau. Đáng lo hơn nữa, ASN được dùng rất phổ biến trong các hạ tầng cơ sở quan trọng như mạng lưới điện và hệ thống cung cấp nước. Những hệ thống này cho phép phần cứng của cơ sở hạ tầng gửi những dữ liệu, chẳng hạn mức độ tiêu thụ điện, tới hệ thống phần mềm kiểm soát.