Tavis Ormandy, một nhà nghiên cứu bảo mật tại Google, gần đây đã phát hiện ra một lỗ hổng ẩn giấu trong Trình quản lý mật khẩu của Windows 10. Lỗi này cho phép kẻ tấn công mạng đánh cắp mật khẩu.

Lỗ hổng này đi kèm với ứng dụng quản lý mật khẩu Keeper của bên thứ ba được cài đặt sẵn trên tất cả các thiết bị Windows 10. Có vẻ như lỗ hổng này khá giống với lỗ hổng mà cùng một nhà nghiên cứu bảo mật đã phát hiện ra vào năm 2016.

Thông tin chi tiết về cuộc tấn công mạng

Tavis Ormandy tuyên bố rằng ông nhớ nộp một lỗi về cách giao diện người dùng đặc quyền được đưa vào các trang. Ông tuyên bố rằng lần này nó lại xảy ra điều tương tự xảy ra vào năm 2016 với phiên bản hiện tại của Trình quản lý mật khẩu.

Tavis đã trình diễn cuộc tấn công và anh đã chia sẻ tất cả các chi tiết cần thiết trong Project Zero. Lỗi này dường như phải chịu thời hạn công bố 90 ngày và điều này có nghĩa là sau 90 ngày trôi qua, Tavis sẽ được tự do chia sẻ các chi tiết đầy đủ về lỗ hổng này và cách thức khai thác công khai.

Theo anh, anh đã tạo ra một Windows 10 VM mới với hình ảnh nguyên sơ từ MSDN và anh nhận thấy rằng trình quản lý mật khẩu của bên thứ ba được cài đặt theo mặc định. Sau đó, anh tìm thấy lỗ hổng nghiêm trọng.

Vấn đề đã được gắn cờ và một bản sửa lỗi đã được đưa ra

Keeper đã đánh dấu sự cố vài ngày trước và một bản cập nhật mới đã được tung ra để khắc phục nó. Công ty đã thảo luận về vấn đề này trong một bài đăng trên blog.

Bài đăng của Keeper nói rằng tất cả các khách hàng đang chạy tiện ích mở rộng trình duyệt trên Chrome, Edge và Firefox đã nhận được Phiên bản 11.4.4 thông qua quy trình cập nhật trình duyệt web của họ. Người dùng đang chạy tiện ích mở rộng Safari có thể cập nhật thủ công lên phiên bản 11.4.4 bằng cách truy cập trang tải xuống của công ty. Keeper cũng nói rằng các ứng dụng di động và máy tính để bàn không bị ảnh hưởng bởi vấn đề này và chúng không yêu cầu cập nhật.

Để ngăn chặn mọi cuộc tấn công mạng, chúng tôi khuyên bạn nên cập nhật tất cả các ứng dụng của mình. Bạn có thể tải xuống tiện ích mở rộng cho Microsoft Edge từ cửa hàng Microsoft.