Microsoft បដិសេធមិនជួសជុលភាពងាយរងគ្រោះសូន្យថ្ងៃនៅក្នុង Internet Explorer

នៅថ្ងៃសុក្រ ទី 12 ខែមេសា អ្នកជំនាញផ្នែកសន្តិសុខព័ត៌មាន លោក John Page បានបោះពុម្ពផ្សាយព័ត៌មានអំពីភាពងាយរងគ្រោះដែលមិនបានកែតម្រូវនៅក្នុងកំណែបច្ចុប្បន្ននៃ Internet Explorer ហើយក៏បានបង្ហាញពីការអនុវត្តរបស់វាផងដែរ។ ភាពងាយរងគ្រោះនេះអាចអនុញ្ញាតឱ្យអ្នកវាយប្រហារទទួលបានមាតិកានៃឯកសារមូលដ្ឋានរបស់អ្នកប្រើប្រាស់ Windows ដោយឆ្លងកាត់សុវត្ថិភាពកម្មវិធីរុករកតាមអ៊ីនធឺណិត។

ភាពងាយរងគ្រោះស្ថិតនៅក្នុងវិធីដែល Internet Explorer គ្រប់គ្រងឯកសារ MHTML ដែលជាធម្មតាមានផ្នែកបន្ថែម .mht ឬ .mhtml ។ ទម្រង់នេះត្រូវបានប្រើដោយ Internet Explorer តាមលំនាំដើមសម្រាប់ការរក្សាទុកទំព័របណ្ដាញ និងអនុញ្ញាតឱ្យអ្នករក្សាទុកមាតិកាទាំងមូលនៃទំព័ររួមជាមួយនឹងមាតិកាមេឌៀទាំងអស់ជាឯកសារតែមួយ។ នៅពេលនេះ កម្មវិធីរុករកតាមអ៊ីនធឺណិតទំនើបភាគច្រើនលែងរក្សាទុកគេហទំព័រក្នុងទម្រង់ MHT ហើយប្រើទម្រង់ស្តង់ដារ WEB - HTML ប៉ុន្តែពួកគេនៅតែគាំទ្រឯកសារដំណើរការក្នុងទម្រង់នេះ ហើយក៏អាចប្រើវាសម្រាប់រក្សាទុកជាមួយការកំណត់សមស្រប ឬប្រើផ្នែកបន្ថែមផងដែរ។

ភាពងាយរងគ្រោះដែលបានរកឃើញដោយ John ជាកម្មសិទ្ធិរបស់ថ្នាក់ XXE (XML eXternal Entity) នៃភាពងាយរងគ្រោះ ហើយមានការកំណត់រចនាសម្ព័ន្ធមិនត្រឹមត្រូវនៃកម្មវិធីដោះស្រាយកូដ XML នៅក្នុង Internet Explorer ។ Page និយាយថា "ភាពងាយរងគ្រោះនេះអនុញ្ញាតឱ្យអ្នកវាយប្រហារពីចម្ងាយអាចចូលប្រើឯកសារក្នុងស្រុករបស់អ្នកប្រើ ហើយឧទាហរណ៍ ទាញយកព័ត៌មានអំពីកំណែកម្មវិធីដែលបានដំឡើងនៅលើប្រព័ន្ធ" ។ "ដូច្នេះ សំណួរសម្រាប់ 'c:Python27NEWS.txt' នឹងត្រឡប់កំណែរបស់កម្មវិធីនោះ (អ្នកបកប្រែ Python ក្នុងករណីនេះ)។"

ដោយសារនៅក្នុង Windows ឯកសារ MHT ទាំងអស់បើកនៅក្នុង Internet Explorer តាមលំនាំដើម ការទាញយកភាពងាយរងគ្រោះនេះគឺជាកិច្ចការដ៏កម្រមួយ ដោយសារអ្នកប្រើប្រាស់គ្រាន់តែចុចពីរដងលើឯកសារគ្រោះថ្នាក់ដែលបានទទួលដោយអ៊ីមែល បណ្តាញសង្គម ឬអ្នកផ្ញើសារបន្ទាន់ប៉ុណ្ណោះ។

អ្នកស្រាវជ្រាវពន្យល់ថា "ជាធម្មតានៅពេលបង្កើតវត្ថុ ActiveX ដូចជា Microsoft.XMLHTTP អ្នកប្រើប្រាស់នឹងទទួលបានការព្រមានសុវត្ថិភាពនៅក្នុង Internet Explorer ដែលនឹងស្នើសុំការបញ្ជាក់ដើម្បីធ្វើឱ្យមាតិកាដែលបានទប់ស្កាត់សកម្ម" ។ "ទោះជាយ៉ាងណាក៏ដោយ នៅពេលបើកឯកសារ .mht ដែលបានរៀបចំជាមុនដោយប្រើស្លាកសម្គាល់ដែលមានរចនាប័ទ្មពិសេស អ្នក​ប្រើ​នឹង​មិន​ទទួល​បាន​ការ​ព្រមាន​អំពី​មាតិកា​ដែល​អាច​បង្ក​គ្រោះថ្នាក់​នោះ​ទេ។"

យោងតាម ​​Page គាត់បានសាកល្បងដោយជោគជ័យនូវភាពងាយរងគ្រោះនៅក្នុងកំណែបច្ចុប្បន្ននៃកម្មវិធីរុករក Internet Explorer 11 ជាមួយនឹងការធ្វើបច្ចុប្បន្នភាពសុវត្ថិភាពចុងក្រោយបំផុតទាំងអស់នៅលើ Windows 7, Windows 10 និង Windows Server 2012 R2 ។

ប្រហែលជាដំណឹងល្អតែមួយគត់ក្នុងការលាតត្រដាងជាសាធារណៈអំពីភាពងាយរងគ្រោះនេះគឺការពិតដែលថាចំណែកទីផ្សារលេចធ្លោរបស់ Internet Explorer ឥឡូវនេះបានធ្លាក់ចុះមកត្រឹមតែ 7,34% ប៉ុណ្ណោះ នេះបើយោងតាម ​​NetMarketShare ។ ប៉ុន្តែចាប់តាំងពី Windows ប្រើ Internet Explorer ជាកម្មវិធីលំនាំដើមដើម្បីបើកឯកសារ MHT អ្នកប្រើប្រាស់មិនចាំបាច់កំណត់ IE ជាកម្មវិធីរុករកលំនាំដើមរបស់ពួកគេទេ ហើយពួកគេនៅតែងាយរងគ្រោះដរាបណា IE នៅតែមាននៅលើប្រព័ន្ធរបស់ពួកគេ ហើយពួកគេមិនបង់ប្រាក់។ យកចិត្តទុកដាក់លើឯកសារទម្រង់ទាញយកនៅលើអ៊ីនធឺណិត។

ត្រលប់មកវិញនៅថ្ងៃទី 27 ខែមីនា លោក John បានជូនដំណឹងដល់ក្រុមហ៊ុន Microsoft អំពីភាពងាយរងគ្រោះនេះនៅក្នុងកម្មវិធីរុករករបស់ពួកគេ ប៉ុន្តែនៅថ្ងៃទី 10 ខែមេសា អ្នកស្រាវជ្រាវបានទទួលការឆ្លើយតបពីក្រុមហ៊ុនដែលវាបានបង្ហាញថាវាមិនបានចាត់ទុកបញ្ហានេះថាជាការរិះគន់នោះទេ។

ក្រុមហ៊ុន Microsoft បាននិយាយនៅក្នុងសំបុត្រថា "ការជួសជុលនឹងត្រូវបានចេញផ្សាយជាមួយនឹងកំណែបន្ទាប់នៃផលិតផល" ។ "បច្ចុប្បន្ន​យើង​មិន​មាន​គម្រោង​បញ្ចេញ​ដំណោះស្រាយ​សម្រាប់​បញ្ហា​នេះ​ទេ"។

បន្ទាប់ពីការឆ្លើយតបយ៉ាងច្បាស់ពីក្រុមហ៊ុន Microsoft អ្នកស្រាវជ្រាវបានចេញផ្សាយព័ត៌មានលម្អិតអំពីភាពងាយរងគ្រោះសូន្យថ្ងៃនៅលើគេហទំព័ររបស់គាត់ ក៏ដូចជាកូដសាកល្បង និងវីដេអូនៅលើ YouTube ។

ទោះបីជាការអនុវត្តភាពងាយរងគ្រោះនេះមិនមានលក្ខណៈសាមញ្ញ និងទាមទារឱ្យអ្នកប្រើប្រាស់ដំណើរការឯកសារ MHT ដែលមិនស្គាល់ក៏ដោយ ភាពងាយរងគ្រោះនេះមិនគួរត្រូវបានគិតស្រាលនោះទេ ទោះបីជាមិនមានការឆ្លើយតបពី Microsoft ក៏ដោយ។ ក្រុម Hacker បានប្រើឯកសារ MHT សម្រាប់ការបន្លំ និងការចែកចាយមេរោគកាលពីអតីតកាល ហើយគ្មានអ្វីនឹងរារាំងពួកគេមិនឱ្យធ្វើដូច្នេះទេឥឡូវនេះ។ 

ទោះយ៉ាងណាក៏ដោយ ដើម្បីជៀសវាងបញ្ហានេះ និងភាពងាយរងគ្រោះស្រដៀងគ្នាជាច្រើន អ្នកគ្រាន់តែត្រូវយកចិត្តទុកដាក់លើផ្នែកបន្ថែមនៃឯកសារដែលអ្នកទទួលបានពីអ៊ីនធឺណិត ហើយពិនិត្យមើលពួកវាជាមួយកំចាត់មេរោគ ឬនៅលើគេហទំព័រ VirusTotal ។ ហើយសម្រាប់សុវត្ថិភាពបន្ថែម គ្រាន់តែកំណត់កម្មវិធីរុករកដែលអ្នកចូលចិត្តក្រៅពី Internet Explorer ជាកម្មវិធីលំនាំដើមសម្រាប់ឯកសារ .mht ឬ .mhtml ។ ឧទាហរណ៍នៅក្នុង Windows 10 វាត្រូវបានធ្វើយ៉ាងងាយស្រួលនៅក្នុងម៉ឺនុយ "ជ្រើសរើសកម្មវិធីស្តង់ដារសម្រាប់ប្រភេទឯកសារ" ។

ប្រភព: 3dnews.ru