Google đã phát hành một bản cập nhật bảo mật khẩn cấp cho trình duyệt Chrome, nhằm khắc phục các lỗ hổng nghiêm trọng có khả năng cho phép kẻ tấn công giành quyền kiểm soát hoàn toàn hệ thống của người dùng. Phiên bản kênh ổn định (stable channel) đã được cập nhật lên 138.0.7204.168 cho Windows và Mac, cũng như 138.0.7204.168 cho Linux. Quá trình triển khai bản cập nhật này dự kiến sẽ đến tay tất cả người dùng trong những ngày và tuần tới.
Chi tiết các Lỗ hổng Bảo mật Khắc phục
Bản cập nhật Chrome mới nhất giải quyết tổng cộng ba lỗ hổng bảo mật quan trọng, trong đó có hai vấn đề nghiêm trọng có mức độ cao đã thu hút sự chú ý đặc biệt từ các chuyên gia an ninh mạng. Cả hai lỗ hổng nghiêm trọng này đều liên quan đến các lỗi “type confusion” (nhầm lẫn kiểu dữ liệu) trong V8, công cụ JavaScript của Chrome, vốn là nền tảng cốt lõi cho việc thực thi và hiệu suất của các trang web.
Lỗ hổng Type Confusion trong V8 Engine
Các lỗ hổng loại “type confusion” xảy ra khi một chương trình sử dụng một đối tượng hoặc biến theo một kiểu dữ liệu khác với kiểu dữ liệu mà nó thực sự có. Trong bối cảnh của một trình duyệt web như Chrome, điều này có thể dẫn đến việc công cụ JavaScript V8 diễn giải sai các loại dữ liệu, gây ra các hành vi không mong muốn. Sự nhầm lẫn này có thể bị kẻ tấn công lợi dụng để:
- Thao túng cách trình duyệt diễn giải dữ liệu: Khi một kiểu dữ liệu bị hiểu sai, kẻ tấn công có thể thay đổi cách bộ nhớ được truy cập hoặc ghi, dẫn đến việc ghi đè lên các vùng nhớ nhạy cảm.
- Gây ra hỏng bộ nhớ (memory corruption): Việc ghi đè bộ nhớ có thể làm thay đổi cấu trúc dữ liệu hoặc các con trỏ quan trọng, khiến hệ thống hoạt động không ổn định hoặc sụp đổ.
- Thực thi mã tùy ý (arbitrary code execution): Đây là hậu quả nghiêm trọng nhất, khi kẻ tấn công có thể chèn và thực thi mã độc của riêng họ trên hệ thống của nạn nhân. Điều này cho phép chúng kiểm soát hoàn toàn trình duyệt hoặc thậm chí toàn bộ hệ thống.
Khi được khai thác thành công, những lỗ hổng này có thể cho phép tội phạm mạng vượt qua các biện pháp bảo mật hiện có, đánh cắp thông tin nhạy cảm (như dữ liệu cá nhân, thông tin tài chính), hoặc cài đặt phần mềm độc hại lên máy tính của nạn nhân mà không cần sự tương tác rõ ràng nào từ người dùng.
Các lỗ hổng nghiêm trọng này đã được phát hiện và báo cáo bởi nhà nghiên cứu bảo mật Shaheen Fazim vào ngày 9 tháng 7 năm 2025. Việc phát hiện này nhấn mạnh những nỗ lực không ngừng của cộng đồng an ninh mạng trong việc xác định và giải quyết các mối đe dọa tiềm tàng trước khi chúng có thể bị khai thác một cách độc hại. Google đã ghi nhận những đóng góp này thông qua chương trình tiền thưởng bảo mật của họ (security reward program), với một lỗ hổng đã được trao khoản tiền thưởng 8.000 USD.
Nỗ lực Bảo mật Nội bộ của Google
Ngoài việc xử lý các lỗ hổng được báo cáo từ bên ngoài, các đội ngũ bảo mật nội bộ của Google cũng đã triển khai nhiều bản sửa lỗi bổ sung được phát hiện thông qua các quy trình kiểm toán toàn diện. Những sáng kiến nội bộ này sử dụng các công cụ phát hiện tiên tiến để xác định các điểm yếu bảo mật tiềm ẩn trước khi chúng tiếp cận môi trường sản xuất. Các công cụ này bao gồm:
- AddressSanitizer (ASan): Một công cụ phát hiện lỗi bộ nhớ tại thời gian chạy (runtime memory error detector). ASan được thiết kế để tìm các lỗi như truy cập ngoài biên (out-of-bounds access), sử dụng bộ nhớ sau khi giải phóng (use-after-free), và sử dụng bộ nhớ sau khi trả về từ phạm vi (use-after-return), những loại lỗi thường dẫn đến các lỗ hổng bảo mật nghiêm trọng.
- MemorySanitizer (MSan): Tương tự như ASan, MSan được sử dụng để phát hiện các trường hợp sử dụng biến hoặc bộ nhớ chưa được khởi tạo. Việc sử dụng dữ liệu chưa khởi tạo có thể dẫn đến các hành vi không xác định và tiềm ẩn lỗ hổng.
- UndefinedBehaviorSanitizer (UBSan): Công cụ này tập trung vào việc phát hiện các hành vi không xác định (undefined behavior) trong mã nguồn C/C++. Các hành vi không xác định có thể bao gồm chia cho 0, tràn số nguyên (integer overflow), hoặc truy cập con trỏ null, mà một số trong số đó có thể bị kẻ tấn công khai thác.
- Control Flow Integrity (CFI): Một kỹ thuật bảo mật nhằm ngăn chặn việc thay đổi luồng điều khiển của chương trình một cách trái phép. CFI đảm bảo rằng mã chỉ được thực thi theo các đường dẫn đã được xác định trước, giúp ngăn chặn các cuộc tấn công như ROP (Return-Oriented Programming) hoặc JOP (Jump-Oriented Programming) thường dựa vào việc chuyển hướng luồng điều khiển.
- libFuzzer: Một thư viện fuzzing trong quy trình (in-process fuzzer) được tích hợp vào các ứng dụng để tự động tạo ra các đầu vào kiểm thử không hợp lệ hoặc bất ngờ. libFuzzer giúp tìm ra các trường hợp gây lỗi hoặc treo ứng dụng, thường là dấu hiệu của các lỗ hổng bảo mật.
- AFL (American Fuzzy Lop): Một công cụ fuzzing thông minh và hiệu quả được sử dụng rộng rãi để tìm lỗi trong phần mềm. AFL hoạt động bằng cách thay đổi các đầu vào hiện có và theo dõi cách chương trình phản ứng để tìm ra các trường hợp hiếm gặp gây ra sự cố hoặc lỗ hổng.
Việc sử dụng kết hợp các công cụ này cho phép Google thực hiện kiểm tra bảo mật sâu rộng và tự động, giúp phát hiện và khắc phục các điểm yếu tiềm ẩn một cách chủ động trước khi chúng có thể bị khai thác trong môi trường thực tế.
Google duy trì một chính sách hạn chế quyền truy cập vào thông tin chi tiết về lỗ hổng cho đến khi phần lớn người dùng đã cập nhật trình duyệt của họ với các bản sửa lỗi cần thiết. Cách tiếp cận này giúp ngăn chặn các tác nhân độc hại khai thác các lỗ hổng đã biết trong khi người dùng vẫn đang chạy các phiên bản chưa được vá.
Khuyến nghị Khẩn cấp: Cập nhật Trình duyệt Chrome Ngay lập tức
Với mức độ nghiêm trọng của các lỗ hổng này và khả năng chúng bị khai thác, người dùng Chrome nên cập nhật trình duyệt của mình lên phiên bản mới nhất ngay lập tức để tự bảo vệ khỏi những mối đe dọa bảo mật nghiêm trọng. Mặc dù trình duyệt thường tự động cập nhật, người dùng có thể kiểm tra cập nhật thủ công bằng cách điều hướng đến menu cài đặt của Chrome và chọn “Giới thiệu về Chrome” (About Chrome).
Các bước để kiểm tra và cập nhật thủ công:
- Mở trình duyệt Google Chrome trên máy tính của bạn.
- Nhấp vào biểu tượng ba chấm dọc (Thêm) ở góc trên bên phải của cửa sổ trình duyệt.
- Di chuột đến tùy chọn Trợ giúp (Help).
- Chọn Giới thiệu về Google Chrome (About Google Chrome).
- Chrome sẽ tự động kiểm tra và tải xuống bản cập nhật nếu có. Sau khi tải xuống, bạn sẽ được nhắc khởi động lại trình duyệt để hoàn tất quá trình cập nhật.
Việc trì hoãn bản cập nhật này có thể khiến hệ thống của bạn dễ bị tổn thương trước các cuộc tấn công mạng tinh vi, có khả năng xâm phạm dữ liệu cá nhân, thông tin tài chính và tính toàn vẹn của hệ thống.
