Lỗ hổng CVE-2021-34506 được đánh giá mức độ nghiêm trọng (CVSS 5,4). Lỗ hổng bảo mật này có thể được tin tặc lợi dụng để chèn và thực thi mã Javascript độc hại khi người dùng sử dụng tính năng dịch trang tự động Microsoft Translator được tích hợp trên trình duyệt.
CVE-2021-34506 được phát hiện và báo cáo bởi một nhóm các nhà nghiên cứu của CyberXlore Private Limited. Trong bài viết đăng trên trang Thehackernews, nhóm nghiên cứu này cho biết: “Không giống như các cuộc tấn công Cross-Site script (XSS) thông thường, Universal cross site script (UXSS) là một kiểu tấn công khai thác các lỗ hổng bên trong trình duyệt hoặc các tiện ích mở rộng của trình duyệt nhằm tạo ra một điều kiện XSS và thực thi mã độc. Khi các lỗ hổng như vậy được tìm thấy và khai thác thì trình duyệt sẽ bị ảnh hưởng và các tính năng bảo mật của nó có thể bị bỏ qua hoặc vô hiệu hóa”.
Cụ thể, các nhà nghiên cứu đã phát hiện tính năng dịch của tiện ích mở rộng Microsoft Translator tồn tại một đoạn mã mà thông qua đó những kẻ tấn công có khả năng chèn mã JavaScript độc hại vào một vị trí bất kỳ trên trang web. Sau đó, mã độc sẽ được kích hoạt khi người dùng nhấp vào lời nhắc dịch trang xuất hiện trên thanh địa chỉ.
Ngày 24/6, sau 3 tuần kể từ khi nhận được báo cáo, Microsoft đã khắc phục sự cố và thưởng 20.000 USD cho các chuyên gia bảo mật CyberXplore.
Hiện nay, người dùng có thể tải xuống bản cập nhật mới nhất (Phiên bản 91.0.864.59) cho trình duyệt trên Chromium bằng cách truy cập Setting and more/ About Microsoft Edge.
Phạm Nam
11:00 | 01/02/2021
13:00 | 14/09/2021
10:00 | 04/02/2022
17:00 | 23/07/2021
16:00 | 25/06/2021
18:00 | 15/07/2021
08:00 | 10/05/2021
12:00 | 12/04/2024
Mới đây, Cục An toàn thông tin khuyến nghị người dân cảnh giác với 7 hình thức lừa đảo trực tuyến phổ biến, gồm 5 hình thức trong nước và 2 hình thức có quy mô quốc tế.
13:00 | 07/02/2024
Vừa qua, Trung tâm ứng cứu khẩn cấp máy tính Ukraine (CERT-UA) phát cảnh báo về việc hơn 2.000 máy tính ở nước này đã bị lây nhiễm một loại phần mềm độc hại có tên là DirtyMoe.
09:00 | 10/01/2024
Song song với mức độ phổ biến toàn cầu của tiền điện tử và có nhiều cách thức lưu trữ mới thì các kho công cụ tấn công được sử dụng bởi những tác nhân đe dọa tiền kỹ thuật số cũng ngày càng được mở rộng. Bài viết này dựa trên báo cáo của Kaspersky đề cập đến các phương pháp tấn công email khác nhau được tội phạm mạng sử dụng trong các chiến dịch lừa đảo nhắm vào hai cách lưu trữ tiền điện tử phổ biến nhất: ví nóng và ví lạnh.
08:00 | 08/01/2024
Eagers Automotive - Tập đoàn bán lẻ ô tô hàng đầu ở Australia và New Zealand xác nhận một sự cố tấn công mạng, gây ảnh hưởng đến một số hệ thống công nghệ thông tin khiến tập đoàn này phải tạm dừng mọi hoạt động giao dịch để ngăn chặn rò rỉ thông tin vào ngày 28/12 vừa qua.
Các chuyên gia bảo mật cảnh báo rằng thế giới đang phải đối mặt với sự phát triển của những công nghệ mới, mối đe dọa đang ngày càng gia tăng cả về phạm vi, lẫn cường độ của các cuộc tấn công.
08:00 | 17/04/2024