Bash bug nguy hiểm hơn cả lỗ hổng "Trái tim rỉ máu"

Chỉ vài tháng sau khi cảnh báo về lỗ hổng "Trái tim rỉ máu" (Heartbleed) tràn ngập trên toàn mạng Internet, một lỗ hổng mới lại xuất hiện với cấp độ nguy hiểm 11 trên thang điểm từ 1 đến 10, đe dọa hạ gục mọi thứ, từ máy chủ cao cấp cho đến camera kết nối Internet.

Ảnh minh họa Internet.

Theo các chuyên gia bảo mật, lỗ hổng nghiêm trọng này nằm trong phần mềm lõi Bash được sử dụng trên các hệ thống Unix và Linux. Đây có thể là một "thảm họa" cho các công ty nội dung số lớn, các website, server, máy tính cá nhân, các thiết bị chạy OS X, các thiết bị mạng...

Điều đáng nói là lỗ hổng này tồn tại đã 25 năm nay, cho phép mã độc chạy bên trong lõi Bash (thường được truy cập thông qua câu lệnh (Command Prompt) trên PC hoặc ứng dụng Terminal của máy tính Mac), từ đó chiếm quyền điều khiển hệ điều hành và tiếp cận các thông tin bảo mật.

Một bài post từ hãng bảo mật nguồn mở Red Hat cảnh báo rằng "rất nhiều chương trình đang chạy lõi Bash ngầm bên dưới" và lỗ hổng sẽ được "kích hoạt khi hacker chèn thêm mã độc vào giữa các dòng mã gốc của Bash". Trong khi đó, nhiều tổ chức tin rằng Bash còn nghiêm trọng hơn cả "Trái tim rỉ máu" vì lỗ hổng này "có thể tương tác với các phần mềm khác theo những cách khó lường trước được", và cũng vì một "tỷ lệ lớn" các phần mềm có thể tương tác với lõi Bash.

"Chúng ta sẽ không bao giờ liệt kê được đủ những phần mềm đang lưu hành có thể bị đe dọa bởi lỗ hổng Bash", các chuyên gia lo ngại.

Hơn nữa, lỗ hổng Bash đặc biệt nguy hiểm đối với các thiết bị Internet của vạn vật (Internet of Things - IoT) vì phần mềm mà những thiết bị này sử dụng đều sử dụng mã script Bash, ít có khả năng được vá lỗi hơn so với phần mềm của máy chủ web. Đồng thời, do lỗ hổng đã tồn tại từ rất lâu nên có khả năng nhiều thiết bị đời cổ cũng "dính".

"Trên thang điểm từ 1 đến 10, đây là lỗ hổng nguy hiểm cấp 11", một chuyên gia khác bình luận. Hiệp hội an toàn thông tin Việt Nam (VNISA) cũng đã phát đi cảnh báo và khuyến nghị các quản trị hệ thống cần kiểm tra gấp các hệ thống của mình đồng thời cập nhật gấp khi phát hiện hệ thống đang bị lỗ hổng. Hiện tại mới có Red Hat và Centos đưa ra bản cập nhật.