Yahoo ngưng sử dụng ImageMagick vì lỗ hổng YahooBleed

Mai Phương Lý21:21 24/05/2017

Yahoo vừa quyết định ngưng sử dụng ImageMagick , sau khi một nhà nghiên cứu bảo mật phát hiện lỗ hổng cho phép kẻ gian truy cập thông tin Yahoo Mail chỉ với dòng mã đơn giản.

Lỗ hổng YahooBleed là giọt nước tràn ly khiến Yahoo khai tử ImageMagick . ẢNH: THEHACKERNEWS

Theo Thehackernews, nhà nghiên cứu bảo mật Chris Evans đã phát hiện và công bố công khai lỗ hổng bảo mật Yahoobleed trên blog cá nhân. Evans mô tả YahooBleed#1 (YB1) là cách để tin tặc truy cập tập tin đính kèm trong Yahoo Mail của nạn nhân từ máy chủ Yahoo.

YB1 khai thác một lỗ hổng có trong ImageMagick – một thư viện xử lý ảnh mã nguồn mở cho phép người dùng thay đổi kích cỡ, cắt xén, làm mờ hay chỉnh sửa hình ảnh. Nó được hỗ trợ bởi PHP, Python, Ruby, Perl, C và nhiều ngôn ngữ lập trình khác. Thư viện xử lý hình ảnh phổ biến này được quan tâm vào năm ngoái khi liên quan đến lỗ hổng zero-day mang tên ImageTragick, cho phép hacker truyền mã độc hại trên máy chủ web bằng cách tải lên hình ảnh được chứa mã độc.

Không giống như các sự cố rò rỉ thông tin người dùng như Heartbleed và Cloudbleed trước đó, Evans nói rằng Yahoobleed sử dụng phân vùng bộ nhớ chưa kích hoạt, nơi một bộ đệm giải mã hình ảnh trước khi hiển thị trở lại khách hàng, gây rò rỉ bộ nhớ phía máy chủ.

Video đang HOT

Để chứng minh nghiên cứu, Evans đã chèn mã khai thác 18 byte vào một tập tin và đính kèm trong email gửi đến email của chính mình. Khi tệp đính kèm hình ảnh được nhấp, nó sẽ khởi chạy ô xem trước hình ảnh, cho phép dịch vụ hiển thị phần hình ảnh vẫn còn tồn tại trong bộ nhớ máy chủ thay vì ảnh gốc. Giải thích nguyên nhân vấn đề, Evans cho rằng hình ảnh JPEG hiển thị trên trình duyệt dựa trên bộ nhớ chưa kích hoạt hoặc đã giải phóng trước đó.

Theo Evans, lỗ hổng này nằm ở định dạng hình ảnh RLE (Utah Raster Toolkit Run Length Encoded). Một kẻ tấn công chỉ đơn giản tạo ra một hình ảnh RLE thủ công, gửi nó và tạo ra một vòng lặp của các lệnh giao thức rỗng khiến thông tin bị rò rỉ ra ngoài.

Sau khi Evans thông báo lỗ hổng đến Yahoo, gã khổng lồ công nghệ này đã đưa ra quyết định cho “về vườn” thư viện nguồn mở ImageMagick nhằm tránh bất kỳ lỗ hổng bảo mật khác trong tương lai gây ảnh hưởng đến người sử dụng.

Evans đã nhận được khoản tiền thưởng trị giá 14.000 USD từ Yahoo do giúp phát hiện lỗ hổng ImageMagick. Tuy nhiên, giá trị giải thưởng đã được Yahoo tăng gấp đôi lên 28.000 USD sau khi biết Evans có nhã ý mang số tiền nhận được đi làm từ thiện.

Kiến Văn

Theo Thanhnien

Yahoo bị tố đang muốn 'trói buộc' người dùng

Yahoo lại tiếp tục vướng vào một sự khó chịu mới từ người dùng, khi có nhiều ý kiến cho rằng hãng đang tìm mọi cách để "trói chân" người dùng.

Yahoo được cho là đang làm khó người dùng bằng việc vô hiệu hóa tính năng chuyển tiếp email. ẢNH CHỤP MÀN HÌNH

Theo SlashGear, một số người dùng hiện nay cho biết họ không thể sử dụng được tính năng chuyển tiếp email của Yahoo (Mail Forwarding). Điều này làm cho công việc của họ gặp nhiều khó khăn.

Mail Forwarding là một tính năng cho phép người dùng tự động thiết lập chế độ chuyển mail, tức khi có một ai đó gửi email vào Yahoo thì mail này sẽ được chuyển đến một email khác đã được chỉ định (chẳng hạn như Gmail).

Việc làm này của Yahoo được cho là do lo lắng khi nhiều người dùng đang dần quay lưng với dịch vụ Yahoo Mail, tận dụng tín năng chuyển tiếp email để chuyển sang dịch vụ email mới.

Trả lời trước cáo buộc nói trên, phát ngôn viên của Yahoo cho biết: "Tính năng chuyển tiếp email thực ra vẫn đang được phát triển, và chúng tôi chỉ tạm thời vô hiệu hóa nó. Tuy nhiên, với những người dùng đã bật chức năng chuyển email thì vẫn có thể sử dụng".

Được biết, trong thời gian qua Yahoo vướng vào khá nhiều tai tiếng, như xác nhận bị tin tặc lấy cắp 500 triệu tài khoản người dùng. Tuy nhiên, một số nguồn tin giấu tên chia sẻ rằng thực tế con số thất thoát thậm chí tới 1 - 3 tỉ tài khoản.

Ngoài ra, truyền thông Mỹ còn phanh phui Yahoo đã có thỏa thuận ngầm với chính phủ Mỹ trong việc rà soát email của người dùng nhằm mục đích chống khủng bố.

Thành Luân

Theo Thanhnien

Cách kiểm tra tài khoản Yahoo bị hack hay không Nếu đang sử dụng tài khoản Yahoo, dưới đây là một số cách thức giúp người dùng biết được thông tin cá nhân của mình có bị ảnh hưởng hay không. Theo các chuyên gia an ninh, sự kiện dữ liệu của ít nhất 500 triệu người dùng Yahoo bị đánh cắp trở thành vụ đột nhập an ninh lớn nhất và tồi...

Bạn thấy bài viết này có hữu ích không?

Có

Không

Tin liên quan

Xem thêm Share

Xem nhiều

Chiếc xe thể thao trị giá 140.000 USD bốc cháy khi đang bơm xăng00:10

Cơ hội sở hữu MacBook giá rẻ sắp thành hiện thực05:51

Cổng sạc của iPhone Air và iPhone 17 có một nhược điểm lớn11:28

Tiêu điểm

Tin đang nóng

Tin mới nhất

One UI 8 cập bến dòng Galaxy S24

11:31:13 23/09/2025

Samsung đã mang đến tin vui cho người dùng thế hệ cũ hơn khi chính thức tung ra bản cập nhật One UI 8 ổn định cho toàn bộ dòng Galaxy S24.

Apple Intelligence sắp có tiếng Việt

11:22:13 23/09/2025

Nhiều người dùng iOS 26 phiên bản Developer Beta 1 (bản thử nghiệm dành cho nhà phát triển) mới đây phát hiện công cụ trí tuệ nhân tạo Apple Intelligence đã hỗ trợ tiếng Việt.

One UI 8 có thực sự giúp điện thoại Galaxy mạnh hơn?

11:15:26 23/09/2025

Samsung nổi bật với việc tối ưu hóa hệ điều hành cho các thiết bị cũ, vì vậy nhiều người sẽ đặt ra câu hỏi về tác động của One UI 8 ra sao đối với Galaxy S25.

Bí mật Apple giấu kín trong iPhone Air

11:09:36 23/09/2025

Apple không nói nhiều đến AI (trí tuệ nhân tạo) khi trình làng iPhone Air, nhưng hãng đã âm thầm làm chủ tất cả kiến trúc trên con chip mới để ưu tiên cho trí tuệ nhân tạo.

Bộ sạc mới giúp iPhone 17 sạc siêu tốc

12:12:10 22/09/2025

Ngoài Apple, một số thương hiệu khác cũng đã áp dụng công nghệ AVS trong sản phẩm của họ, như bộ sạc USB-C 67W của Google dành cho dòng Pixel 10 và bộ sạc GaN 240W của Framework cho máy tính xách tay.

DeepSeek phủ nhận sao chép mô hình của OpenAI, cảnh báo nguy cơ jailbreak

10:47:08 22/09/2025

DeepSeek tuyên bố rằng quá trình huấn luyện V3 chỉ tiêu tốn 2,8 triệu giờ GPU với chi phí 5,6 triệu USD, bằng một phần nhỏ thời gian và tiền bạc mà các công ty Mỹ bỏ ra cho các mô hình AI của họ.

CTO Meta: Apple không cho gửi iMessage trên kính Ray-Bans Display

15:25:16 21/09/2025

Hệ sinh thái khép kín của Apple không chỉ gây rắc rối cho cơ quan quản lý và nhà phát triển nhỏ, mà cả những gã khổng lồ công nghệ như Meta Platforms.

Bước vào kỷ nguyên chuyển đổi số, trí tuệ nhân tạo và robotics

20:17:31 20/09/2025

Robotics đang làm thay đổi sâu sắc cách sản xuất, vận chuyển và phục vụ, khi robot trở thành những cộng sự hỗ trợ, chứ không còn chỉ là cánh tay thép trong các nhà máy.

Với Gemini, trình duyệt Chrome ngày càng khó bị đánh bại

11:21:00 20/09/2025

Google đã công bố những cải tiến đáng chú ý cho trình duyệt Chrome với mục tiêu biến nó thành một công cụ chủ động hơn trong việc hỗ trợ người dùng.

Vì sao người dùng Galaxy nên cập nhật lên One UI 8

11:17:24 20/09/2025

One UI 8 tích hợp AI đa phương thức cho phép hệ thống phân tích dữ liệu từ hình ảnh, âm thanh và văn bản để đưa ra các đề xuất phù hợp với ngữ cảnh của người dùng.

Apple Watch tích hợp AI phát hiện nguy cơ cao huyết áp

10:30:03 20/09/2025

Điều đặc biệt nằm ở chỗ, đây không phải là một máy đo huyết áp thu nhỏ, mà là thành quả từ trí tuệ nhân tạo (AI), được Apple ứng dụng trên dữ liệu cảm biến sẵn có. Tính năng này còn có thể hoạt động trên các mẫu Apple Watch từ Series 9 ...

Cập nhật iOS 26, nhiều người "quay xe" muốn trở về iOS 18

09:36:21 20/09/2025

Nhiều người dùng cho biết sau khi cập nhật iOS 26, iPhone gặp hàng loạt sự cố khác nhau như nóng máy, hao pin, lỗi hiển thị biểu tượng ứng dụng và kết nối Carplay chập chờn.