Tệp tin flash được nhúng trong các tệp tin MS Office có thể chạy hoặc thực thi các đoạn mã mà người dùng không hề hay biết.
Đây là vấn đề bảo mật có liên quan đến bộ phần mềm Microsoft Office thứ ba liên tiếp được phát hiện chỉ trong vòng có một tuần lễ.
Nếu khai thác thành công lỗi bảo mật này, kẻ tấn công có thể truy cập được các thông tin nhạy cảm và thực thi các đoạn mã độc hại trên hệ thống bị mắc lỗi, Symantec khẳng định trong bản tin cảnh báo gửi tới các khách hàng.
Chuyên gia nghiên cứu Debasis Mohanty là người phát hiện ra lỗi bảo mật này. Tuy nhiên, đây là vấn đề liên quan đến khả năng tải các bộ điều khiển ActiveX của các tệp tin Office chứ không phải là một lỗi bảo mật phát sinh từ tính năng của bộ ứng dụng. ActiveX là một ứng dụng nhỏ nhằm tăng tính tương thích của các trang web.
"Phương thức xử lý tệp tin Macromedia Flash trên phương diện thiết kế và bản thân tính năng không đặt người dùng vào các nguy cơ bị tấn công," đại diện của Microsoft cho biết.
Nhưng Microsoft cũng khẳng định điểm yếu này có thể bị tin tặc lợi dụng để tự động vận hành một ActiveX trên hệ thống của người dùng thông qua một tệp tin Office. Hiện Microsoft chưa ghi nhận được bất kỳ trường hợp nào các ActiveX có thể giúp tin tặc đột nhập hệ thống PC mắc lỗi thông cách thức này.
"Microsoft sẽ tiếp tục điều tra thêm các thông tin về vấn đề này để giúp cung cấp thêm những hướng dẫn cần thiết cho khách hàng," đại diện của Microsoft khẳng định.
Vấn đề liên quan đến ActiveX là vấn đề bảo mật thứ ba liên quan đến Office được phát hiện chỉ trong vòng có một tuần lễ. Ngày thứ ba vừa rồi, Microsoft cũng đã khẳng định một lỗi bảo mật liên quan đến một thành phần Windows "hlink.dll" có thể bị khai thác bằng các tạo ra một tệp tin Excel độc hại. Cuối tuần trước, một lỗ hổng khác trong Excel cũng đã bị khai thác để tấn công người sử dụng.
Để có thể khai thác được các lỗi bảo mật mới trong Office, kẻ tấn công cần phải tạo ra một tệp tin nguy hiểm và lưu trữ nó trên Internet, gửi qua email hoặc đưa tới tay các nạn nhân. Chỉ khi nào người dùng mở tệp tin đó ra thì vụ tấn công mới được xem là thành công.
Hầu hết mọi lỗi bảo mật đều được phát hiện ngay sau khi Microsoft phát hành bản vá bảo mật hàng tháng.
Hoàng Dũng