doccodon9x

Hôm thứ hai (7/7), Microsoft cảnh báo về lỗ hổng của ActiveX có thể bị hacker lợi dụng để tấn công hệ quản trị dữ liệu Access.


Về cơ bản, hacker có thể giăng bẫy người sử dụng bằng đường link gửi đến qua email hay tin nhắn trực tuyến. Nếu click vào thì một trang web được mở ra ngay lập tức để thực thi mã tấn công từ xa. Đặc biệt, phương thức này còn cung cấp cho hacker nhiều quyền truy cập máy tính mục tiêu tấn công hơn như là chính người sử dụng đăng nhập hệ thống.

Tuy nhiên, lỗ hổng bảo mật này chỉ xuất hiện trong trình điều khiển ActiveX đối với tính năng Snapshot Viewer của các phiên bản Microsoft Office Access 2000, 2002 và 2003.

Tiện ích ActiveX cho phép người sử dụng xem ảnh bản ghi trong cơ sở dữ liệu Access mà không cần nhờ đến chức năng run-time của Microsoft Office Access. Công cụ Snapshot Viewer được cung cấp riêng và hỗ trợ các phiên bản cao hơn Microsoft Office Access 2007.

Chế độ chạy mặc định của IE trên môi trường Windows Server 2003 và Windows Server 2008 hạn chế tính năng có tên Enhanced Security Configuration, thiết lập cơ chế bảo mật Internet ở mức cao (high). Song Bill Sisk phụ trách an ninh truyền thông của Microsoft cho biết chính nhân tố này đã làm cho những người sử dụng coi nhẹ tiện ích Internet Explorer Trusted. Hơn nữa, tính năng bảo mật của IE còn có thể đặt chế độ loại bỏ ActiveX thực thi trên trang web tải về.

Chính vì vậy, Microsoft khuyến cáo người sử dụng tạm thời thực hiện biện pháp vô hiệu hóa tính năng Active Scripting của IE. Đưa chế độ bảo mật của IE về mức "high" để hiện thông báo cho phép thực thi hay không mỗi khi truy cập website có nhúng ActiveX Controls và Active Scripting.

Liên minh bảo mật Microsoft (MSRA) tiếp tục phối hợp với các đối tác để theo dõi, đánh giá mức nguy hại của lỗ hổng này trong khi vẫn chưa xảy ra tình trạng bùng phát các cuộc tấn công. Sau đó, Microsoft sẽ đưa ra bản nâng cấp sửa lỗi để khắc phục toàn diện.