Chrome và Firefox ra bản vá khẩn cấp vá hàng loạt lỗ hổng nghiêm trọng

Google và Mozilla vừa đồng loạt công bố các bản cập nhật bảo mật mới cho trình duyệt Chrome và Firefox nhằm khắc phục hàng loạt lỗ hổng ở mức độ nghiêm trọng và cao. Đây là động thái quan trọng mà người dùng cần nhanh chóng thực hiện để bảo vệ thiết bị trước các nguy cơ tấn công mạng.

Hình ảnh minh họa về cập nhật bảo mật trên Chrome và Firefox

Firefox 154: Vá 58 lỗ hổng CVE

Firefox 154 đã được phát hành trên kênh ổn định với các bản vá cho 58 lỗ hổng CVE, bao gồm 20 lỗi ở mức nghiêm trọng (high-severity). Trong số đó, khoảng một nửa là các lỗi liên quan đến an toàn bộ nhớ (memory safety) có thể bị khai thác để thực thi mã tùy ý trên hệ thống.

Các lỗi nghiêm trọng đã được khắc phục bao gồm:

• 6 lỗi use-after-free (sử dụng sau khi giải phóng bộ nhớ)
• 6 lỗi leo thang đặc quyền (privilege escalation)
• 2 lỗi tiết lộ thông tin (information disclosure)
• 1 lỗi vượt qua sandbox (sandbox escape)
• 1 lỗi cô lập trang web (site isolation) và 1 lỗi vượt qua cơ chế giảm thiểu (mitigation bypass)

Theo công bố của Mozilla, bản cập nhật cũng giải quyết nhiều lỗi do đội ngũ nội bộ phát hiện, dẫn đến hỏng bộ nhớ và các khiếm khuyết bảo mật khác có thể bị lợi dụng. Các lỗi này được gom thành ba CVE.

Cũng trong ngày thứ Ba, Mozilla công bố Thunderbird 154 với các bản vá cho 55 lỗ hổng. Ngoài ra, các phiên bản Firefox ESR 115.39, Firefox ESR 140.14, Firefox ESR 153.1 cùng Thunderbird 140.14 và Thunderbird 153.1 cũng được phát hành với các bản sửa lỗi tương tự.

Chrome 151: Vá 15 lỗ hổng, gồm 2 lỗi nghiêm trọng

Về phía Google, bản cập nhật Chrome 151 mới được phát hành nhằm giải quyết 15 lỗ hổng bảo mật, trong đó có 2 lỗi tràn bộ nhớ đệm (buffer overflow) ở mức nghiêm trọng (critical) trong thành phần WebGL và Dawn — một nền tảng đồ họa mã nguồn mở dùng trong Chrome.

Minh họa quá trình vá lỗ hổng bảo mật

13 lỗi còn lại ở mức nghiêm trọng (high-severity) bao gồm nhiều dạng khác nhau như: triển khai không phù hợp (inappropriate implementation), theo dõi liên kết (link following), điều kiện cạnh tranh (race condition), giải quyết tham chiếu không chính xác, use-after-free, sử dụng tài nguyên chưa khởi tạo, tràn bộ nhớ đệm, tính toán không chính xác, rò rỉ thông tin và nhầm lẫn kiểu dữ liệu (type confusion).

Theo thông tin từ Google, công ty đã tự phát hiện 11 lỗ hổng trong số này, trong khi 4 lỗi còn lại được các nhà nghiên cứu bên ngoài phát hiện và báo cáo. Mức tiền thưởng bug bounty dành cho các nhà nghiên cứu vẫn chưa được công bố.

Phiên bản Chrome mới nhất đang được triển khai dần cho người dùng với số hiệu 151.0.7922.169/.170 trên Windows và macOS, cùng 151.0.7922.169 trên Linux.

Logo SecurityWeek

Lời khuyên cho người dùng

Việc các lỗi bảo mật thường xuyên xuất hiện trong các trình duyệt phổ biến không còn là điều hiếm gặp, và việc trì hoãn cập nhật có thể khiến người dùng gặp rủi ro lớn. Người dùng Việt Nam nên:

• Cập nhật ngay lập tức trình duyệt Chrome và Firefox lên phiên bản mới nhất thông qua tính năng cập nhật tự động hoặc truy cập trực tiếp vào trang web chính thức.
• Kiểm tra lại các tiện ích mở rộng (extension) thường xuyên, chỉ cài từ các nguồn đáng tin cậy.
• Không nhấp vào các đường dẫn lạ hoặc tải tệp từ các nguồn không rõ nguồn gốc trong thời gian chờ đợi bản vá.

Các chuyên gia khuyến cáo rằng tốc độ vá lỗ hổng trong các trình duyệt ngày càng trở thành cuộc đua "nước rút" giữa nhà phát triển và tin tặc. Đối với người dùng phổ thông, việc bật chế độ cập nhật tự động là cách đơn giản và hiệu quả nhất để duy trì "hàng rào" bảo mật vững chắc trước các mối đe dọa không ngừng gia tăng.