Lỗ hổng POODLE lại xuất hiện ở dạng nguy hiểm hơn

10:26 | 15/12/2014 | LỖ HỔNG ATTT

Một số website của những tổ chức lớn như Bank of America, VMware, Bộ Cựu chiến binh Hoa Kỳ… được xác định là có thể bị tấn công qua một biến thể của lỗ hổng có tên Padding Oracle On Downgraded Legacy Encryption - POODLE.

Lỗ hổng này được phát hiện cách đây hai tháng, cho phép những tin tặc đang nắm quyền giám sát các kết nối Wi-Fi (hay các kết nối khác) không bảo mật, có thể giải mã các kết nối HTTPS dùng giao thức SSL phiên bản 3. Các nhà phát triển trình duyệt nhanh chóng giải quyết vấn đề bằng cách loại bỏ việc sử dụng SSLv3.

Tuy nhiên, đến đầu tháng 12/2014 thì một biến thể của lỗ hổng đó lại xuất hiện và có thể phát huy tác dụng với các phiên bản mới của giao thức: nó có thể dùng để tấn công cả TLS 1.2. Danh sách các website “yếu kém” nêu ở đầu bài viết này là do một dịch vụ kiểm tra miến phí - SSL Server Test () - của công ty bảo mật Qualys phát hiện.

Lỗ hổng POODLE lại xuất hiện ở dạng nguy hiểm hơn

Nếu POODLE đòi hỏi tin tặc phải thực hiện khá nhiều công đoạn phức tạp, trong đó điều bắt buộc là giả các gói tin trao đổi giữa máy chủ và máy khách để buộc chúng dùng phiên bản cũ – SSLv3 – trước khi dò nội dung mã hóa, thì với biến thể mới của nó, công việc của tin tặc trở nên nhẹ nhàng. Việc dò tìm bản rõ của cookies vẫn phải thực hiện qua nhiều vòng nhưng không cần bước “ép” máy khách dùng SSLv3 nữa.

Các thiết bị cân bằng tải và các thiết bị tương tự của hai nhà sản xuất F5 và A10 đã được phát hiện bị ảnh hưởng bởi lỗ hổng này. Mặc dù các phiên bản gần đây của TLS đòi hỏi kiểm tra kỹ quá trình padding (bổ sung thêm dữ liệu vào cuối của chuỗi cần mã hóa) để chống các kiểu tấn công Oracle nhưng các công ty thường bỏ qua bước này – đó là lý do chúng có thể bị tấn công.

Theo Ivan Ristic, Giám đốc nghiên cứu bảo mật ứng dụng của Qualys, khoảng 10% số website có thể bị tấn công bằng lỗ hổng mới này – tức là chúng có thể bị “người đứng giữa” nghe lén các thông điệp mã hóa.

‹ › ×

Tin liên quan

Qúa trình hình thành các Tiêu chuẩn An toàn thông tin

10:53 | 04/10/2013

Tạp chí An toàn thông tin đã giới thiệu phần I của bài viết “Quá trình hình thành các Tiêu chuẩn an toàn thông tin. Trong phần 2 này, phần tiếp theo sẽ giới thiệu nội dung về “Các tiêu chuẩn đánh giá và các tiêu chuẩn đặc tả kỹ thuật sản phẩm ATTT”.

Tin cùng chuyên mục

Cảnh báo về chiêu trò lừa đảo đánh cắp mã OTP bằng cuộc gọi AI

09:00 | 26/06/2024

Việc xác thực 2 yếu tố bằng mã OTP được xem là biện pháp bảo mật an toàn. Tuy nhiên các tin tặc đã tìm ra kẽ hở để sử dụng phương pháp này tấn công lừa đảo.

Phát hiện lỗ hổng trên bộ định tuyến TP-Link Gaming khiến người dùng có thể bị tấn công bằng mã từ xa

12:00 | 19/06/2024

Một lỗ hổng bảo mật ở mức điểm nghiêm trọng tối đa đã được phát hiện trong bộ định tuyến TP-Link Archer C5400X gaming có thể dẫn đến việc thực thi mã từ xa trên các thiết bị bằng cách gửi các yêu cầu độc hại.

Quý I/2024: Ransomware tăng 70% so với cùng kỳ

10:00 | 20/05/2024

Theo báo cáo của Viettel Threat Intelligence, đơn vị này đã ghi nhận nhiều chiến dịch tấn công mã độc ransomware có chủ đích nhắm vào các hệ thống của doanh nghiệp, tổ chức tại Việt Nam, tăng 70% so với cùng kỳ năm 2023.

Tin tặc Nga tấn công vào hệ thống mạng lưới của Chính phủ Ba Lan

08:00 | 15/05/2024

Ba Lan cho biết nhóm tin tặc APT28 có liên quan đến Cơ quan tình báo quân đội Nga (GRU) đã thực hiện các cuộc tấn công mạng nhắm mục tiêu vào các tổ chức chính phủ Ba Lan trong khoảng thời gian đầu tháng 5/2024.