Lỗ hổng POODLE lại xuất hiện ở dạng nguy hiểm hơn

10:26 | 15/12/2014 | LỖ HỔNG ATTT

Một số website của những tổ chức lớn như Bank of America, VMware, Bộ Cựu chiến binh Hoa Kỳ… được xác định là có thể bị tấn công qua một biến thể của lỗ hổng có tên Padding Oracle On Downgraded Legacy Encryption - POODLE.

Lỗ hổng này được phát hiện cách đây hai tháng, cho phép những tin tặc đang nắm quyền giám sát các kết nối Wi-Fi (hay các kết nối khác) không bảo mật, có thể giải mã các kết nối HTTPS dùng giao thức SSL phiên bản 3. Các nhà phát triển trình duyệt nhanh chóng giải quyết vấn đề bằng cách loại bỏ việc sử dụng SSLv3.

Tuy nhiên, đến đầu tháng 12/2014 thì một biến thể của lỗ hổng đó lại xuất hiện và có thể phát huy tác dụng với các phiên bản mới của giao thức: nó có thể dùng để tấn công cả TLS 1.2. Danh sách các website “yếu kém” nêu ở đầu bài viết này là do một dịch vụ kiểm tra miến phí - SSL Server Test (https://www.ssllabs.com/ssltest/) - của công ty bảo mật Qualys phát hiện.

Lỗ hổng POODLE lại xuất hiện ở dạng nguy hiểm hơn

Nếu POODLE đòi hỏi tin tặc phải thực hiện khá nhiều công đoạn phức tạp, trong đó điều bắt buộc là giả các gói tin trao đổi giữa máy chủ và máy khách để buộc chúng dùng phiên bản cũ – SSLv3 – trước khi dò nội dung mã hóa, thì với biến thể mới của nó, công việc của tin tặc trở nên nhẹ nhàng. Việc dò tìm bản rõ của cookies vẫn phải thực hiện qua nhiều vòng nhưng không cần bước “ép” máy khách dùng SSLv3 nữa.

Các thiết bị cân bằng tải và các thiết bị tương tự của hai nhà sản xuất F5 và A10 đã được phát hiện bị ảnh hưởng bởi lỗ hổng này. Mặc dù các phiên bản gần đây của TLS đòi hỏi kiểm tra kỹ quá trình padding (bổ sung thêm dữ liệu vào cuối của chuỗi cần mã hóa) để chống các kiểu tấn công Oracle nhưng các công ty thường bỏ qua bước này – đó là lý do chúng có thể bị tấn công.

Theo Ivan Ristic, Giám đốc nghiên cứu bảo mật ứng dụng của Qualys, khoảng 10% số website có thể bị tấn công bằng lỗ hổng mới này – tức là chúng có thể bị “người đứng giữa” nghe lén các thông điệp mã hóa.

‹ › ×

Tin liên quan

Qúa trình hình thành các Tiêu chuẩn An toàn thông tin

10:53 | 04/10/2013

Tạp chí An toàn thông tin đã giới thiệu phần I của bài viết “Quá trình hình thành các Tiêu chuẩn an toàn thông tin. Trong phần 2 này, phần tiếp theo sẽ giới thiệu nội dung về “Các tiêu chuẩn đánh giá và các tiêu chuẩn đặc tả kỹ thuật sản phẩm ATTT”.

Tin cùng chuyên mục

Lỗ hổng chèn lệnh BatBadBut ảnh hưởng đến nhiều ngôn ngữ lập trình

09:00 | 03/05/2024

Một lỗ hổng nghiêm trọng ảnh hưởng đến nhiều ngôn ngữ lập trình cho phép kẻ tấn công chèn lệnh vào các ứng dụng Windows.

Lỗ hổng Kubernetes cho phép thực thi mã từ xa trên điểm cuối Windows

09:00 | 01/04/2024

Vừa qua, công ty bảo mật đám mây Akamai (Mỹ) đã đưa ra cảnh báo về việc khai thác lỗ hổng Kubernetes ở mức độ nghiêm trọng cao, có thể dẫn đến việc thực thi mã tùy ý với các đặc quyền hệ thống trên tất cả các điểm cuối Windows trong một cụm (cluster).

Chính phủ Pháp bị tấn công mạng

16:00 | 15/03/2024

Ngày 11/3, Văn phòng Thủ tướng Pháp thông báo một số cơ quan nhà nước của Pháp đã bị tấn công mạng với cường độ chưa từng có đồng thời nhấn mạnh rằng chính phủ đã có thể hạn chế tác động từ vụ việc này.

Biến thể mới của kỹ thuật tấn công DLL vượt qua các biện pháp bảo vệ của Windows 10, 11

08:00 | 19/01/2024

Các nhà nghiên cứu bảo mật đến từ Công ty an ninh mạng Security Joes (Israel) đã mô tả một cách chi tiết về một biến thể mới của kỹ thuật chiếm quyền điều khiển thứ tự tìm kiếm thư viện liên kết động (DLL) mà các tin tặc có thể sử dụng để vượt qua các cơ chế bảo mật và thực thi mã độc trên các hệ thống chạy Windows 10 và Windows 11.