Quy trình khai thác lỗi này khá đơn giản: đầu tiên tin tặc sẽ để lại một lời bình (comment) trên website muốn khai thác để lấy trường dữ liệu của lời bình này qua việc xem mã HTML trả về. Kế đến tin tặc sẽ tạo một trang web và nhập trường dữ liệu vào và thực thi việc gửi comment, với mục đích nhằm tạo ra lỗi “trùng lặp lời bình” (Duplicate comment detected) và khi đó sẽ thực thi đoạn mã javascript mà tin tặc cài cắm vào.
Theo một quản trị viên của một diễn đàn chuyên nghiên cứu bảo mật, đây là lỗi có thể làm cho tin tặc deface được website đó, tuy nhiên cũng chỉ là ở hình thức bề mặt (thay đổi trang chủ), mục tiêu lớn hơn là những khách vào thăm các website đó, khi đó trình duyệt có thể tự động chạy các đoạn mã độc mà tin tặc đã cài cắm và rất có thể bị mất mật khẩu, cookie, thậm chí có thể bị cài các loại virus, worm…
Quản trị viên trên cũng đề nghị rằng trong lúc chờ WordPress.org cập nhật bản sửa lỗi bảo mật này, những quản trị viên có thể hạn chế những thiệt hại xảy ra cho website sử dụng nền tảng này của mình bằng cách tạm thời ngăn chặn việc cho phép người dùng viết lời bình lên.
Theo ICTNews
Không có nhận xét nào:
Đăng nhận xét