Khi Microsoft tung ra hệ điều hành mới Windows 10, hãng cũng phát hành trình duyệt web mới Microsoft Edge. Sau những "ồn ào" xung quanh vấn đề an ninh và riêng tư của trình duyệt web cũ Internet Explorer, Microsoft Edge được cho là sẽ mang đến sự khởi đầu mới với nhiều cải tiến về thiết kế và tính năng. Tuy nhiên, nó cũng phát sinh nhiều vấn đề, đáng chú ý là lỗ hổng tích hợp PDF.

Lỗ hổng tích hợp PDF là gì?

Nó thực sự phát sinh từ thư viện Windows Runtime PDF Renderer (WinRT PDF). Thành phần này có nhiệm vụ chính là cho phép các nhà phát triển ứng dụng dễ dàng tích hợp tính năng xem tập tin PDF vào ứng dụng của họ. Điều đó có nghĩa là nó có mặt trong nhiều ứng dụng được tải về từ cửa hàng Windows Store và cả các ứng dụng có sẵn trên Windows 10. Mọi ứng dụng từ OneNote cho đến các ứng dụng đọc tập tin PDF của phía thứ ba đều sử dụng WinRT PDF. Trình duyệt web Microsoft Edge cũng sử dụng nó làm trình đọc PDF mặc định, do đó các tập tin PDF được nhúng trong một trang web sẽ tự động được mở trong thư viện.

Tuy nhiên, nhà nghiên cứu Mark Vincent Yason của hãng IBM đã phát hiện ra lỗ hổng ở đây. Ông phát hiện WinRT PDF có thể bị khai thác trong các cuộc tấn công bằng cách chèn mã độc vào một khung ẩn trong tập tin PDF, rất giống với cách mà Java và Flash từng bị khai thác trước đây.

Nó hoạt động như thế nào?

Các vấn đề phát sinh là do trình duyệt web Microsoft Edge sử dụng WinRT PDF. Về mặt lý thuyết, một tin tặc có thể chèn mã độc khai thác WinRT PDF vào trong một tập tin PDF, được bí mật mở thông qua một thành phần iframe bằng ngôn ngữ CSS. Tất cả những gì các tin tặc cần làm là tìm kiếm và tạo ra một cơ sở dữ liệu các lỗ hổng WinRT, có thể lợi dụng để phát tán ứng dụng độc hại của họ.

Các mã độc khai thác WinRT PDF sẽ được triển khai giống như các công cụ Angler hay Neutrino tận dụng lỗ hổng của Flash, Java và Silverlight. Khi nó được thực thi, máy tính của người dùng sẽ gặp mọi vấn đề an ninh: dữ liệu cá nhân dễ bị đánh cắp, virus và phần mềm độc hại có thể bị cấy vào máy tính tùy theo mục đích của tin tặc.

Có công cụ bảo vệ không và người dùng có gặp nguy hiểm?

Mặc dù đã có nhiều khuyến cáo, song người dùng có thể chưa gặp nguy hiểm vì chưa xảy ra trường hợp tấn công nào đáng kể. Windows 10 sử dụng các tính năng EMET cũ như bảo vệ ASLR và CFG. Những công cụ này sẽ giúp ngăn chặn khai thác các lỗ hổng trong ứng dụng. Chúng hoạt động bằng cách tạo ra các lớp bảo vệ đặc biệt và rào cản phức tạp mà một tin tặc phải vượt qua được mới có thể khai thác các lỗ hổng an ninh.

Những công cụ bảo vệ này làm cho việc khai thác lỗ hổng trình đọc WinRT PDF mất rất nhiều thời gian và chi phí, nên chưa có trường hợp nào nghiêm trọng. Tuy nhiên, người dùng không nên quá bất cẩn.

Trình duyệt web khác thì sao?

Người dùng có thể tính việc từ bỏ trình duyệt web Edge để được an toàn, nhưng điều này chưa chắc đúng. Trình đọc PDF của Firefox từng được cộng đồng công nghệ cho là an toàn nhất, do nó được viết hoàn toàn bằng JavaScript và sử dụng các giao diện lập trình ứng dụng API và tính năng đã phổ biến trên Internet. Kết quả là sử dụng Firefox để mở tập tin PDF cũng an toàn như các thao tác duyệt web hàng ngày.

Tuy nhiên, Firefox không hẳn an toàn 100%. Hồi tháng 8-2015, một đoạn mã độc đã được phát hiện từ một trang tin tức của Nga, tìm kiếm các tập tin quan trọng trên máy tính của người dùng và tải lên một máy chủ ở Ukraine. Nó hoạt động bằng cách cấy một đoạn mã JavaScript vào tập tin trên máy tính của người dùng. Firefox đã lập tức có các bản vá lỗ hổng an ninh, nhưng điều đó cho thấy không có trình duyệt web nào hoàn toàn an toàn.

Microsoft Edge vẫn trong quá trình phát triển

Giống như Chrome và Firefox, Microsoft Edge dĩ nhiên không thể hoàn hảo ở giai đoạn mới "ra lò". Chưa được một năm tuổi, Microsoft Edge không khác gì các ứng dụng máy tính khác, vẫn đang trong quá trình liên tục cải tiến và nâng cấp. Nếu các ứng dụng mở rộng dành cho trình duyệt web mới này nở rộ như dự kiến vào cuối năm nay, Microsoft Edge sẽ có thể cạnh tranh mạnh mẽ với trình duyệt web tốt nhất trong thị trường trình duyệt web.

Lê Phi (Theo Makeuseof)