|
Lỗ hổng bảo mật dạng XSS được phát hiện trong cửa sổ chat của ứng dụng Skype dành cho iOS có thể bị tin tặc khai thác nhằm đánh cắp sổ danh bạ của nạn nhân. |
|
Skype đang ra sức khắc phục một lỗ hổng bảo mật bên trong phiên bản ứng dụng dành cho iOS (iPhone và iPod Touch), vốn có thể bị tin tặc lợi dụng để đánh cắp toàn bộ sổ danh bạ của nạn nhân. Lỗ hổng này hiện diện trong cửa sổ chat của ứng dụng và hoàn toàn có thể bị khai thác nhờ một dòng mã lệnh JavaScript.
Cụ thể, Skype sử dụng một file HTML vốn được lưu cục bộ bên trong thiết bị để hiển thị tin nhắn gửi đến từ bạn bè của người dùng (cũng sử dụng Skype), song file HTML này lại không giải mã (encode) được hoàn toàn tên đầy đủ (Full Name) của người gửi tin nhắn, và đây cũng chính là lúc tin tặc chèn vào một đoạn mã JavaScript nguy hiểm, kích hoạt ngay khi nạn nhân xem tin nhắn.
Cốt lỗi của vấn đề nằm ở việc ứng dụng Skype cho phép sự truy nhập đến hệ thống tập tin cục bộ (local file) bên trong thiết bị của người dùng. Hiện tại những rủi ro mà lỗ hổng này mang lại cũng đã được hạn chế phần nào nhờ cơ chế bảo mật sẵn có của iOS, song sổ danh bạ của người dùng lại không có được “may mắn” này.
Chi tiết hơn, nguyên nhân lớn nhất nằm ở cái cách mà Skype sử dụng trình duyệt nhúng WebKit, hãng này đã chỉ định giao thức URI Scheme cho trình duyệt nhúng nói trên là “file://”. Và sơ hở này đã cho phép bất cứ cá nhân có dụng ý xấu nào tiếp cận được với hệ thống tập tin (file system).
Thật đáng ngạc nhiên, khi phía Skype lại đang tỏ ra khá “thong thả” trong việc khắc phục sự cố. Giới truyền thông cho hay tin tức về lỗ hổng đã được gửi đến Skype từ hôm 24-8, khi đó đại diện của Skype đã trấn an dư luận rằng “một bản vá cho lỗ hổng sẽ được phát hành vào đầu tháng Chín”. Và cho đến giờ, khi tháng Chín gần kết thúc, mọi thứ vẫn đang dừng lại ở mức độ “bóng chim tăm cá”.
Theo TRÍ VƯƠNG ( TTO )
