Lỗ hổng bảo mật được đánh giá ở mức "nguy cấp cao" (highly criticial) đã xuất hiện trong các trình duyệt Internet Explorer 5.01, 5.5, và 6 trên các máy tính Windows XP SP1 đã cập nhật mọi bản sửa lỗi, hay thậm chí trên cả bản nâng cấp hoành tráng nhất Windows SP2 vừa được phát hành.

Một lỗ hổng mới trong trình duyệt Internet Explorer đã được hãng bảo mật Đan Mạch Secunia phát hiện. Secunia tuyên bố lỗi này khiến tất cả máy tính của người dùng đều có nguy cơ bị tấn công, thậm chí kể cả những người vừa kỳ công nâng cấp hệ điều hành Windows XP lên bản Service Pack 2 đồ sộ.

Theo báo cáo do Secunia đưa lên website của hãng cuối tuần trước, lỗi bảo mật này ảnh hưởng tới các phiên bản Internet Explorer 5.01, 5.5, và 6 trên các máy tính đã được cài đầy đủ các bản nâng cấp bảo mật của Windows XP SP1, hay thậm chí cả với bản SP2.

Microsoft hiện chỉ mới bắt đầu đưa Service Pack 2 tới các người dùng bản Windows XP Home từ cuối tuần qua, và đã được tuyên bố như một sự củng cố bảo mật vững chắc nhất cho Windows từ trước tới nay. Cảnh báo của Secunia cũng không phải là vấn đề rắc rối đầu tiên mà SP2 phải đối mặt. Microsoft hiện đã phải đưa ra một bản sửa lỗi cho SP2 để khắc phục các vấn đề mà một số người dùng mạng riêng ảo (VPN) gặp phải khi nâng cấp.

Với đánh giá lỗ hổng ở mức nguy cấp cao, Secunia cho biết đoạn mã minh chứng khái niệm tấn công vào yếu điểm này đã được công bố. Đó là "lỗi xác nhận thiếu của các sự kiện kéo thả biểu tượng (drag-and-drop) được đưa ra từ 'Internet' zone". Dựa vào lỗi này, các hacker có thể cấy các file .exe phá hoại lên một máy tính Windows XP nếu người dùng bị lừa truy cập vào một website do kẻ tấn công thiết kế tinh vi.

Secunia cảnh báo: "Thậm chí mặc dù chương trình chứng minh khái niệm tấn công phụ thuộc vào việc người dùng có thực hiện thao tác kéo thả biểu tượng trên web hay không, nhưng nó có thể tiềm ẩn khả năng được viết lại để sử dụng với sự kiện người dùng kích chuột trái một lần, một thao tác không thể không thực hiện khi truy cập vào web".

Hãng bảo mật Đan Mạch khuyến nghị người dùng nên vô hiệu tính năng Active Scripting nằm trong IE hoặc sử dụng một trình duyệt khác cho tới khi lỗi bảo mật này được khắc phục.

Lỗi bảo mật này được Secunia cho biết là có "họ hàng gần gũi" với một lỗi được một chuyên gia bảo mật của Trung Quốc phát hiện vào tháng 9 năm ngoái, và đã được khắc phục hoàn toàn.

Bình Minh (Tổng hợp)