Đây chính là lỗ hổng “xuyên táo” Internet Explorer 7 và Firefox.
 
Trong bản tin cảnh báo bảo mật phát đi cùng thời điểm Mozilla trích dẫn lời của chuyên gia bảo mật Jesper Johansson về gốc rễ lỗi bảo mật URI nói trên trong Firefox.
 
“Mozilla không mã hoá ký tự “trống” (space) và “nháy kép” (double-quotes) trong URI được gửi đi từ Firefox sang cho các ứng dụng khác xử lý. Từ đó dẫn đến tình trạng chương trình nhận URI hiểu nhầm một URI đơn thành một đối tượng đa đối số. Mức độ nguy hiểm phụ thuộc nhiều vào loại đối số mà chương trình nhận URI hỗ trợ. Ví dụ như Firefox 2.0.0.4 có thể nhận và xử lý mã nhị phân nhúng sẵn trong các URI được gửi đến”.
 
Mặc dù Mozilla đã thừa nhận sai sót nói trên nhưng trong cộng đồng các nhà phát triển tranh cãi về nguồn gốc cuối cùng của lỗ hổng bảo mật URI vẫn còn tương đối nảy lửa. Liệu trình duyệt - ở đây là Internet Explorer và Firefox – hay hệ điều hành Windows là đối tượng phát tán URI độc hại qua các ứng dụng.
 
Hôm 30/7, US-CERT tuyên bố gốc rễ cuối cùng của lỗ hổng bảo mật URI chính là hàm API ShellExecute() của Windows. Khi Internet Explorer 7 được cài đặt lên hệ thống hàm API này bị thay đổi. Điều này đồng nghĩa với việc lỗi bảo mật URI sẽ vẫn còn tồn tại chừng nào hàm API nói trên còn được phép gửi các tham số không chuẩn đến các chương trình mà nó nhận yêu cầu khởi động, ví dụ trình duyệt web chẳng hạn.
 
Phiên bản Firefox 2.0.0.6 sẽ không còn xử lý những thủ tục ứng dụng yêu cầu khởi động bất kỳ ứng dụng ngoài nào khác.

Theo Vnmedia