Google Translate bị ảnh hưởng bởi lỗi XSS, Google trả lời không sao

[WhiteHat News #ID:0911]

Một lỗ hổng XSS bị phát hiện tồn tại trong giao diện của trang web dịch của Google.

Theo Javier Santiago Vazquez, một nhân viên kiểm toán an ninh mạng cho hãng Mnemo, lỗ hổng nằm trong tính năng “dịch tài liệu” trên website dịch của Google, cho phép người dùng dịch các tài liệu văn bản mà không cần phải trích xuất hoặc sao chép – dán (copy – paste) đoạn văn bản trước khi thực hiện.

​

Vazquez cho hay mã độc đính kèm vào tài liệu được tải lên thông qua tính năng của trang này, có thể cho phép các bên thứ ba tiến hành các cuộc tấn công trên máy tính nạn nhân.

Cách đơn giản nhất mà tin tặc khai thác lỗ hổng là mở các file HTML và chèn mã độc máy chủ trực tiếp thông qua JavaScript (JS). Các loại file khác có khả năng dẫn mã JS trực tiếp cũng có thể có lỗ hổng.

Như vậy, việc khai thác lỗ hổng này khá phức tạp bởi đầu tiên tin tặc cần lừa nạn nhân tải file về máy tính, mở file và đảm bảo là nạn nhân muốn dịch file đó bằng Google Translate, và có thông qua tính năng “dịch tài liệu”.

Vazquez cũng cho hay ông phát hiện lỗi này hồi đầu tháng 11, đã thông báo với Google và đã nhận được phản hồi của hãng ngay ngày hôm sau.

Google trả lời Vazquez rằng họ không coi đây là một lỗ hổng có nguy cơ bởi nó rất khó để khai thác và chỉ hoạt động trong sandbox.

Hãng cũng thông báo với Vazquez việc ông phát hiện ra lỗ hổng không đáng để được tặng thưởng.

Nguồn: Softpedia​

 

-_- Ảo tưởng sức mạnh