Để chứng minh mã khai thác tấn công Internet Information Server (IIS) thông qua một tính năng chứ không phải một lỗi Microsoft vừa cho công bố rộng rãi mã khai thác đó.
Mã khai thác này được phát hiện hồi tháng 12/2006 và chỉ có tác dụng với các phiên bản IIS 5.x. Mặc định tính năng "hit highlight" của IIS 5.x bỏ qua giai đoạn chứng thực cơ bản.
Điều này đồng nghĩa với việc người dùng phải đối mặt với nguy cơ mất cắp dữ liệu. Tin tặc có thể lợi dụng sơ hở này để đoạt quyền truy cập đến một số tệp tin trên hệ thống.
Nhưng tin vui với người dùng là mã khai thác lỗi không có khả năng hạ gục hệ thống, ông Swa Frantzen - chuyên gia của Internet Storm Center - cho biết. Khả năng mã khai thác được sử dụng để để giúp tin tặc đoạt quyền được phép thực thi mã trên hệ thống mắc lỗi cũng chưa được chứng thực.
Phần lớn các trường hợp sử dụng mã khai thác này để tấn công chủ yếu đều nhằm mục tiêu lấy cắp thông tin dữ liệu.
Microsoft khuyến cáo người dùng nên nâng cấp lên phiên bản IIS 6.0 với khả năng bảo mật tốt hơn.
Dù vậy nhưng Microsoft vẫn không xem lỗi IIS 5.x là một lỗi thực sự và không phát hành bản vá lỗi. Thay vào đó Microsoft lại đưa ra một hướng dẫn 6 bước nhằm giúp người dùng giảm bớt nguy cơ bị tấn công.
Hoàng Dũng