QuickTime dính lỗi "zero-day" nguy hiểm

Chưa đầy một tuần sau khi Apple cho bít 9 lỗi bảo mật nguy hiểm trong QuickTime, hacker lại tung lên mạng mã khai thác một lỗi chưa được sửa khác trong ứng dụng đa phương tiện này – hay còn gọi là lỗi bảo mật “zero-day”.

Aaron Adams – chuyên gia nghiên cứu bảo mật làm việc tại mạng thông báo hiểm họa DeepSight của Symantec – cho biết mã khai thác nói trên lợi dụng lỗi “” không thể xử lý được các chuỗi (string) quá dài.

Nếu tấn công thành công mã khai thác sẽ khiến QuickTime bị treo cứng hoàn toàn. “Tuy nhiên, nguy hiểm hơn là nó tạo điều kiện cho tin tặc có thể được từ xa thực thi mã độc trên PC sử dụng phiên bản QuickTime mắc lỗi,” ông Adams cho biết.

Bản thân trong bài viết công bố mã khai thác đăng tải trên milw0rm.com, hacker giấu tên cũng khẳng định mã khai thác này có thể cho phép thực thi mã nhị phân trên hệ thống mắc lỗi.

“Như thế rõ ràng tin tặc hoàn toàn có thể tiến hành khai thác lỗi bằng cách gắn mã khai thác này lên một website nào đó rồi dụ người dùng truy cập vào. Symantec hiện đang nghiên cứu nhằm tìm thêm chi tiết về lỗi này”.

Chuyên gia Adams khuyến cáo người dùng trong thời điểm khi chưa có bản sửa lỗi người dùng nên tạm thời vô hiệu hóa QuickTime Plug-in cho trình duyệt đồng thời tránh truy cập vào những đường liên kết được gửi đến từ các nguồn không rõ rằng qua email, tin nhắn tức thời...