Google: Hacker kết hợp 2 lỗ hổng 0-day trên Chrome và Windows để tấn công người dùng

[WhiteHat News #ID:2017]

Google vừa phát đi cảnh báo về việc hacker khai thác kết hợp hai lỗ hổng zero-day, một trên trình duyệt Google Chrome và một trên Microsoft Windows, để tấn công người dùng.

Hai lỗ hổng được đội nghiên cứu của Google báo cáo lần đầu ngày 27/2. Để khắc phục lỗ hổng Chrome CVE-2019-5786, Google đã phát hành bản cập nhật tự động cho tất cả các nền tảng Chrome vào ngày 1/3. Người dùng được khuyến cáo kiểm tra Chrome trên thiết bị của mình đã được cập nhật lên phiên bản 72.0.3626.121 trở lên hay chưa.

Lỗ hổng trên Microsoft Windows là lỗ hổng leo thang đặc quyền nội bộ, tồn tại trong kernel driver win32k.sys của Windows và có thể bị hacker lợi dụng để vượt qua cơ chế an ninh sandbox.

Đội nghiên cứu của Google tin rằng lỗ hổng này chỉ có thể khai thác được trên Windows 7 nhờ các bản vá lỗi gần đây được cập nhật trên các phiên bản Windows mới hơn. Đến nay, các chuyên gia mới chỉ phát hiện hoạt động khai thác trên hệ thống Windows 7 32-bit.

Căn cứ vào chính sách tiết lộ lỗ hổng của Google, sau khi phát hiện lỗ hổng, đội nghiên cứu đã thông báo tới Microsoft và tới ngày 7/3 mới công bố rộng rãi vì đây là một lỗ hổng nghiêm trọng và đang bị khai thác trong các cuộc tấn công có chủ đích. Lỗ hổng Windows chưa được vá vẫn có thể bị khai thác để leo thang đặc quyền hoặc kết hợp với lỗ hổng trình duyệt khác để vượt qua cơ chế bảo vệ sandbox. Microsoft cho biết hãng đang tìm cách xử lý vấn đề.

Người dùng được khuyến cáo nâng cấp lên Windows 10 nếu vẫn đang chạy phiên bản Windows cũ hơn và cập nhật từ Microsoft ngay khi có bản vá.

Theo Google blog ​