Một cộng tác viên nổi tiếng của Firefox gọi lỗ hổng này là “self-inflicted” (tự phát sinh) và cho rằng có thể tên hacker phát tán mã tấn công vào thứ 2 đã biết được lỗ hổng này qua Bugzilla, cơ sở dữ liệu theo dõi thay đổi và lỗi của Mozilla.
Mozilla nói rằng lỗ hổng này nằm trong công cụ JavaScript TraceMonkey được ra mắt cùng với Firefox 3.5. Trên một blog bảo mật của công ty vào hôm thứ 3, Mozilla cho biết “Lỗ hổng này có thể bị hacker khai thác bằng cách lừa nạn nhân truy cập vào một website độc hại có chứa mã tấn công.”
Secunia, một công ty bảo mật của Đan Mạch, đánh giá giá mức độ nguy hiểm ở mức “highly critical”, mức nguy hiểm thứ 4 trong số 5 mức, và nói rằng lỗ hổng này xuất hiện khi TraceMonkey xử lý mã JavaScript điều khiển thẻ của HTML.
Trong mục bình luận trên blog của Mozilla, Asa Dotzler, Giám đốc bộ phận phát triển của công ty, cho biết những phiên bản Firefox trước đó, bao gồm Firefox 3.0, không hề có lỗ hổng nào.
Trên blog cũng có thông tin cho rằng “Những nhà phát triển Mozilla đang viết một bản vá cho lỗ hổng này, và bản cập nhật bảo mật Firefox sẽ được tung ra ngay khi bản vá được hoàn thành và thử nghiệm.”
Thay vì sử dụng bản vá, người dùng cũng có thể tự bảo vệ bằng cách hủy bỏ thành phần “just-in-time” của công cụ TraceMonkey. Để hủy bỏ người dùng chỉ cần nhập “about:config” vào thanh địa chỉ của Firefox, gõ “jit” trong hộp lọc, sau đó click đúp vào mục “javascript.options.jit.content” và đặt giá trị là “false”. Thành phần add-on NoScript cũng sẽ không bị tấn công.
Tên hacker phát tán mã tấn công trên trang malware Milw0rm.com vào hôm thứ 2 không phải là người đầu tiên phát hiện ra lỗ hổng này: Những nhà phát triển của Mozilla phát hiện lỗ hổng này vào thứ 5 tuần trước và họ đang tiến hành khắc phục thì mã tấn công được phát tán.
Andreas Gal, thành viên dự án Bugzilla, tranh luận rằng “Khi xem xét mã tấn công và giai đoạn thử nghiệm, tôi nghĩ rằng lỗ hổng này là “self-inficted” và nhẽ ra chúng tôi phải khắc phục nó sớm hơn.”. Gal là một nhà khao học nghiên cứu dự án của trường đại học California, nơi phát triển kĩ thuật "trace trees". Công cụ TraceMonkey của Firefox 3.5 được tạo ra dựa trên kĩ thuật này, còn code và ý tưởng được lấy từ dự án mã nguồn mở Tamarin Tracing.
Một công tác viên khác cũng đồng ý với ý kiến cho rằng “Dường như mã tấn công Milw0rm dựa trên giai đoạn kiểm thử để phát hiện ra lỗ hổng này. Khi xem xét chi tiết mã tấn công trong một chương trình gỡ rối, bạn sẽ thấy rằng nó sử dụng heap spray để thực hiện truy cập trái phép."
Bản vá cho lỗ hổng này được coi là phiên bản Firefox 3.5.1, một bản cập nhật fast-track, ban đầu dự định sẽ được tung ra vào nửa cuối tháng này.
Xian (Theo Quantrimang/ComputerWorld