Lỗ hổng Zero-day trên trình duyệt Web và cách vá lỗi

Khi có tin về lỗ hổng zero-day trên trình duyệt web, cách vá lỗi hiệu quả nhất là cập nhật trình duyệt lên phiên bản mới nhất và khởi động lại trình duyệt, vì bản cập nhật tải về sẽ chưa có tác dụng cho đến khi trình duyệt được mở lại. Với Chrome và Edge, vào mục Giới thiệu trong cài đặt để kích hoạt kiểm tra; với Safari, cần cập nhật macOS hoặc iOS; với điện thoại, cập nhật qua kho ứng dụng. Doanh nghiệp cần thêm quy trình đẩy bản vá và buộc khởi động lại trong thời hạn ngắn. Bài viết hướng dẫn chi tiết từng trường hợp.

Vì sao không thể chủ quan với bản vá trình duyệt

Các trình duyệt lớn phát hành bản vá khẩn cấp nhiều lần mỗi năm cho lỗ hổng đã bị khai thác trong thực tế. Thông báo thường có câu như "nhà phát triển biết có khai thác cho lỗ hổng này đang tồn tại". Sau khi bản vá công khai, kẻ tấn công có thể phân tích khác biệt giữa hai phiên bản để tái tạo cách khai thác, nhắm vào người chậm cập nhật. Cơ chế tấn công được trình bày trong bài cách hacker xâm nhập qua zero-day trình duyệt.

Cập nhật trên máy tính cá nhân

Google Chrome

1. Mở menu ba chấm > Trợ giúp > Giới thiệu về Google Chrome.
2. Chrome tự kiểm tra và tải bản mới.
3. Nhấn Khởi chạy lại. Các tab sẽ được mở lại, nhưng hãy lưu công việc đang dở trước.

Microsoft Edge

Menu > Trợ giúp và phản hồi > Giới thiệu về Microsoft Edge, sau đó khởi động lại. Edge dùng chung bộ máy Chromium với Chrome, nên lỗ hổng Chromium thường cần cập nhật cả hai.

Mozilla Firefox

Menu > Trợ giúp > Giới thiệu về Firefox. Firefox tải bản mới và yêu cầu khởi động lại để áp dụng.

Safari

Safari được cập nhật cùng hệ điều hành hoặc qua bản cập nhật Safari riêng trong Cài đặt hệ thống > Chung > Cập nhật phần mềm. Apple đôi khi phát hành bản phản hồi bảo mật nhanh, cài đặt trong vài phút.

Trình duyệt khác dựa trên Chromium

Brave, Opera, Vivaldi, Cốc Cốc dùng chung bộ máy Chromium nhưng phát hành bản vá theo lịch riêng. Hãy kiểm tra trang giới thiệu của từng trình duyệt và theo dõi thông báo từ nhà phát triển.

Cập nhật trên điện thoại

• Android: cập nhật Chrome và Android System WebView qua Google Play. WebView là thành phần các ứng dụng khác dùng để hiển thị nội dung web, nên cũng cần được vá.
• iPhone, iPad: mọi trình duyệt trên iOS đều dùng bộ máy WebKit của hệ điều hành (trừ một số ngoại lệ theo quy định khu vực), vì vậy bản vá đến qua cập nhật iOS. Vào Cài đặt > Cài đặt chung > Cập nhật phần mềm.
• Bật cập nhật tự động trong kho ứng dụng và hệ điều hành.

Đừng quên các "trình duyệt ẩn"

Nhiều ứng dụng máy tính như ứng dụng chat, công cụ làm việc nhóm, trình soạn thảo mã được xây dựng trên nền Electron hoặc nhúng Chromium. Chúng mang theo bộ máy trình duyệt riêng và chỉ được vá khi nhà phát triển ứng dụng phát hành bản mới. Hãy bật tự động cập nhật cho các ứng dụng này và ưu tiên bản cài từ nguồn chính thức. Đây cũng là một dạng phụ thuộc phần mềm, gần với rủi ro được phân tích trong bài tấn công chuỗi cung ứng qua thư viện mã nguồn mở.

Quy trình cho doanh nghiệp

Mục tiêu thời gian

Với lỗ hổng trình duyệt đang bị khai thác, nhiều tổ chức đặt mục tiêu vá phần lớn thiết bị trong vòng vài ngày, thay vì theo chu kỳ vá hằng tháng. Kinh nghiệm này giống như với thiết bị biên, như phân tích trong bài nhóm APT lợi dụng lỗ hổng VPN.

Chuẩn hóa trình duyệt

Càng nhiều trình duyệt khác nhau trong tổ chức, càng khó vá đồng bộ. Hãy chuẩn hóa một hoặc hai trình duyệt được hỗ trợ, quản lý tập trung tiện ích mở rộng và chặn phiên bản quá cũ truy cập ứng dụng nội bộ.

Biện pháp tạm thời khi chưa vá kịp

• Tránh truy cập trang lạ trên máy chưa cập nhật; dùng thiết bị khác đã vá cho công việc quan trọng.
• Bật các chế độ bảo vệ tăng cường của trình duyệt, chẳng hạn Bảo vệ nâng cao trong Chrome, hoặc tắt JIT JavaScript với trang không tin cậy nếu trình duyệt hỗ trợ.
• Bật Lockdown Mode trên thiết bị Apple nếu bạn thuộc nhóm có nguy cơ cao.
• Doanh nghiệp có thể lọc truy cập web qua cổng an ninh, chặn danh mục trang rủi ro.

Thói quen giúp trình duyệt luôn an toàn

1. Đóng hẳn trình duyệt ít nhất vài ngày một lần để bản cập nhật được áp dụng.
2. Chú ý biểu tượng hoặc nút "Cập nhật" ở góc trình duyệt và xử lý ngay.
3. Gỡ tiện ích mở rộng không dùng, vì tiện ích cũng có thể bị chiếm và phát tán bản cập nhật độc hại.
4. Không dùng trình duyệt hoặc hệ điều hành đã hết hỗ trợ bảo mật.

Xu hướng khai thác lỗ hổng ngày càng nhanh nhờ AI, như bàn trong bài AI bị vũ khí hóa trong an ninh mạng, càng khiến việc cập nhật kịp thời trở thành thói quen bắt buộc.