text:
Trong tháng 4/2018 diễn ra rất nhiều sự kiện nổi bật và đáng chú ý, không chỉ dừng lại ở sự xuất hiện những lỗ hổng mới mà các nhà nghiên cứu bảo mật còn phát hiện cả những chiêu trò mới của tin tặc dùng để đánh lừa người dùng. Bài viết dưới đây sẽ đề cập đến 3 tin tức nổi bật nhất trong tháng 4 vừa qua.
- Lỗ hổng bỏ qua xác thực trong nền tảng dịch vụ Auth0
Với hơn 2000 khách hàng là doanh nghiệp và phải quản lý 42 triệu đăng nhập mỗi ngày và hàng tỷ lượt đăng nhập mỗi tháng, Auth0 là một trong những nền tảng xác thực lớn nhất thế giới. Nhưng trong tháng 4, dịch vụ xác thực lớn nhất thế giới này đã phải đối mặt với một vấn đề lớn về bảo mật đó là sự xuất hiện của lỗ hổng bỏ qua xác thực (CSRF) trong SDK và các thư viện hỗ trợ của Auth0. Lỗ hổng CVE-2018-6874 cho phép kẻ tấn công sử dụng lại một JSON Web Tokens (JWT) hợp lệ cho một tài khoản riêng để truy cập vào tài khoản của nạn nhân mục tiêu. Để làm được điều này, tất cả những gì kẻ tấn công cần là ID người dùng hoặc địa chỉ email của nạn nhân. Đó đều là những thứ có thể dễ dàng thu được bằng các thủ thuật kỹ thuật xã hội đơn giản. Thật may là Auth0 đã có hành động nhanh chóng để khắc phục điểm yếu trong vòng chưa đầy 4 tiếng đồng hồ. Tuy nhiên về phía người dùng, Auth0 đã mất gần sáu tháng để liên hệ với từng khách hàng của mình và giúp họ khắc phục lỗ hổng này trước khi công khai tiết lộ vấn đề. Công ty đã giảm thiểu sự tác động của những lỗ hổng bỏ qua xác thực bằng cách viết lại các thư viện bị ảnh hưởng và phát hành phiên bản SDK mới (auth0.js 9 và Lock 11).
- Hơn 20 triệu người dùng cài đặt chặn quảng cáo độc hại từ Chrome Store
Andrey Meshkov – người đồng sáng lập Adguard đã phát hiện ra năm tiện ích chặn quảng cáo độc hại từ Chrome Store và chúng đã được tải bởi ít nhất 20 triệu người dùng. Tất cả các tiện ích quảng cáo này đều được bắt chước làm theo một số Trình chặn quảng cáo hợp pháp và nổi tiếng. Người tạo các tiện ích mở rộng này cũng đã sử dụng các từ khóa phổ biến trong tên và mô tả của chúng để đạt được xếp hạng cao nhất trong kết quả tìm kiếm, dẫn đến việc nhiều người dùng bị mắc lừa và tải chúng xuống. Các tiện ích mở rộng này có chứa mã độc ẩn bên trong và thông qua đó tin tặc có quyền truy cập vào tất cả các trang web nạn nhân truy cập và thực hiện bất kỳ thao tác nào trên trình duyệt của nạn nhân.
CẢNH BÁO: LỖ HỔNG AN TOÀN THÔNG TIN TRÊN HỆ QUẢN TRỊ NỘI DUNG DRUPAL
- Hai lỗ hổng thực thi mã từ xa trong lõi và một lỗ hổng trong trình soạn thảo văn bản của Drupal
Ba lỗ hổng cùng xuất hiện trong một tháng. Chưa bao giờ Drupal phải đối mặt với hàng loạt các vấn đề nghiêm trọng về bảo mật nhiều đến như vậy. Mở đầu với lỗ hổng Drupalgeddon2 gây ảnh hưởng đến tất cả các phiên bản của Drupal từ 6 đến 8. Lỗ hổng này cho phép một kẻ tấn công từ xa không qua xác thực có thể thực hiện mã độc hại theo mặc định hoặc các cài đặt Drupal thông thường theo các đặc quyền của người dùng. Theo tiết lộ của Checkpoint, lỗ hổng tồn tại do sự nhiễu loạn dữ liệu đầu vào thông qua yêu cầu Form API (FAPI) AJAX. Điều này cho phép kẻ tấn công chèn một payload độc hại vào cấu trúc nội bộ. Dẫn đến việc Drupal thực thi nó mà không cần xác thực người dùng. Bằng cách khai thác lỗ hổng này, kẻ tấn công có thể thực hiện việc tiếp nhận toàn bộ trang web của bất kỳ người dùng Drupal.
Ngay sau khi phát hành PoC khai thác công khai, các nhà nghiên cứu đã nhận thấy các nỗ lực khai thác Drupalgeddon2. Tin tặc đã lợi dụng khai thác PoC cho lỗ hổng Drupalgeddon2 (CVE-2018-7600) để chèn backdoor độc hại và malware khai thác tiền ảo vào máy tính của nạn nhân. Thống kê của Imperva cho thấy rằng 90% các cuộc tấn công Drupalgeddon2 chỉ đơn giản là quét IP để tìm các hệ thống dễ bị tấn công, 3% là các nỗ lực xâm nhập backdoor, và 2% đang cố gắng chạy malware khai thác tiền ảo trên các mục tiêu.
Kế tiếp là sự xuất hiện của lỗ hổng XSS trong trình soạn thảo văn bản của Drupal. Lỗ hổng XSS nằm trong một plugin của bên thứ ba – CKEditor, được tích hợp sẵn trong lõi Drupal để giúp các quản trị viên trang web và người dùng tạo nội dung tương tác. Lỗ hổng XSS xuất phát từ việc xác nhận hợp lệ thẻ “img” trong plugin Enhanced Image cho CKEditor 4.5.11 và các phiên bản mới hơn. Điều này có thể cho phép kẻ tấn công thực hiện mã HTML và JavaScript tùy ý trong trình duyệt của nạn nhân và truy cập thông tin nhạy cảm.
Lỗ hổng thứ 3 trong một tháng. Lỗ hổng Drupalgeddon3 (CVE-2018-7602) gây ảnh hưởng đến lõi Drupal 7 và 8, đồng thời cho phép kẻ tấn công từ xa đạt được chính xác những gì lỗ hổng Drupalgeddon2 (CVE-2018-7600) đã được phát hiện trước đó cho phép – hoàn toàn chiếm quyền kiểm soát các website dế bị tổn thương. Drupalgeddon3 xuất hiện do xác thực đầu vào không chính xác trong Form API, hay còn được gọi là “renderable arrays”. Rút kinh nghiệm từ việc công bố khai thác PoC của Drupalgeddon2, nhóm Drupal đã không phát hành bất kỳ chi tiết kỹ thuật nào về lỗ hổng nhưng vẫn xuất hiện rất nhiều cuộc tấn công đối với lỗ hổng mới này.
Drupal đã phát hành các bản vá mới và yêu cầu các quản trị viên trang web cập nhật phần mềm của họ càng sớm càng tốt.
XEM NHIỀU NHẤT: Microsoft phát hành bản vá khẩn cấp cho lỗ hổng nghiêm trọng trong Windown Container
Quý khách hàng cần tư vấn hỗ trợ về dịch vụ, giải pháp hoặc sản phẩm vui lòng liên hệ:
Website: https://securitybox.vn
Hotline: (+84)90 980 8866 Mr. Kiên
Email: info@securitybox.vn
Địa chỉ: Tầng 9, 459 Đội Cấn, quận Ba Đình, thành phố Hà Nội.
Nguồn: Seucirtydaily

markdown:
**Trong tháng 4/2018 diễn ra rất nhiều sự kiện nổi bật và đáng chú ý, không chỉ dừng lại ở sự xuất hiện những lỗ hổng mới mà các nhà nghiên cứu bảo mật còn phát hiện cả những chiêu trò mới của tin tặc dùng để đánh lừa người dùng. Bài viết dưới đây sẽ đề cập đến 3 tin tức nổi bật nhất trong tháng 4 vừa qua.** **Lỗ hổng bỏ qua xác thực trong nền tảng dịch vụ Auth0**
Với hơn 2000 khách hàng là doanh nghiệp và phải quản lý 42 triệu đăng nhập mỗi ngày và hàng tỷ lượt đăng nhập mỗi tháng, Auth0 là một trong những nền tảng xác thực lớn nhất thế giới. Nhưng trong tháng 4, dịch vụ xác thực lớn nhất thế giới này đã phải đối mặt với một vấn đề lớn về bảo mật đó là sự xuất hiện của lỗ hổng bỏ qua xác thực (CSRF) trong SDK và các thư viện hỗ trợ của Auth0. Lỗ hổng CVE-2018-6874 cho phép kẻ tấn công sử dụng lại một JSON Web Tokens (JWT) hợp lệ cho một tài khoản riêng để truy cập vào tài khoản của nạn nhân mục tiêu. Để làm được điều này, tất cả những gì kẻ tấn công cần là ID người dùng hoặc địa chỉ email của nạn nhân. Đó đều là những thứ có thể dễ dàng thu được bằng các thủ thuật kỹ thuật xã hội đơn giản. Thật may là Auth0 đã có hành động nhanh chóng để khắc phục điểm yếu trong vòng chưa đầy 4 tiếng đồng hồ. Tuy nhiên về phía người dùng, Auth0 đã mất gần sáu tháng để liên hệ với từng khách hàng của mình và giúp họ khắc phục lỗ hổng này trước khi công khai tiết lộ vấn đề. Công ty đã giảm thiểu sự tác động của những lỗ hổng bỏ qua xác thực bằng cách viết lại các thư viện bị ảnh hưởng và phát hành phiên bản SDK mới (auth0.js 9 và Lock 11).
**Hơn 20 triệu người dùng cài đặt chặn quảng cáo độc hại từ Chrome Store**
Andrey Meshkov – người đồng sáng lập Adguard đã phát hiện ra năm tiện ích chặn quảng cáo độc hại từ Chrome Store và chúng đã được tải bởi ít nhất 20 triệu người dùng. Tất cả các tiện ích quảng cáo này đều được bắt chước làm theo một số Trình chặn quảng cáo hợp pháp và nổi tiếng. Người tạo các tiện ích mở rộng này cũng đã sử dụng các từ khóa phổ biến trong tên và mô tả của chúng để đạt được xếp hạng cao nhất trong kết quả tìm kiếm, dẫn đến việc nhiều người dùng bị mắc lừa và tải chúng xuống. Các tiện ích mở rộng này có chứa mã độc ẩn bên trong và thông qua đó tin tặc có quyền truy cập vào tất cả các trang web nạn nhân truy cập và thực hiện bất kỳ thao tác nào trên trình duyệt của nạn nhân.
**CẢNH BÁO: LỖ HỔNG AN TOÀN THÔNG TIN TRÊN HỆ QUẢN TRỊ NỘI DUNG DRUPAL** **Hai lỗ hổng thực thi mã từ xa trong lõi và một lỗ hổng trong trình soạn thảo văn bản của Drupal**
Ba lỗ hổng cùng xuất hiện trong một tháng. Chưa bao giờ Drupal phải đối mặt với hàng loạt các vấn đề nghiêm trọng về bảo mật nhiều đến như vậy. Mở đầu với lỗ hổng Drupalgeddon2 gây ảnh hưởng đến tất cả các phiên bản của Drupal từ 6 đến 8. Lỗ hổng này cho phép một kẻ tấn công từ xa không qua xác thực có thể thực hiện mã độc hại theo mặc định hoặc các cài đặt Drupal thông thường theo các đặc quyền của người dùng. Theo tiết lộ của Checkpoint, lỗ hổng tồn tại do sự nhiễu loạn dữ liệu đầu vào thông qua yêu cầu Form API (FAPI) AJAX. Điều này cho phép kẻ tấn công chèn một payload độc hại vào cấu trúc nội bộ. Dẫn đến việc Drupal thực thi nó mà không cần xác thực người dùng. Bằng cách khai thác lỗ hổng này, kẻ tấn công có thể thực hiện việc tiếp nhận toàn bộ trang web của bất kỳ người dùng Drupal.
Ngay sau khi phát hành PoC khai thác công khai, các nhà nghiên cứu đã nhận thấy các nỗ lực khai thác Drupalgeddon2. Tin tặc đã lợi dụng khai thác PoC cho lỗ hổng Drupalgeddon2 (CVE-2018-7600) để chèn backdoor độc hại và malware khai thác tiền ảo vào máy tính của nạn nhân. Thống kê của Imperva cho thấy rằng 90% các cuộc tấn công Drupalgeddon2 chỉ đơn giản là quét IP để tìm các hệ thống dễ bị tấn công, 3% là các nỗ lực xâm nhập backdoor, và 2% đang cố gắng chạy malware khai thác tiền ảo trên các mục tiêu.
Kế tiếp là sự xuất hiện của lỗ hổng XSS trong trình soạn thảo văn bản của Drupal. Lỗ hổng XSS nằm trong một plugin của bên thứ ba – CKEditor, được tích hợp sẵn trong lõi Drupal để giúp các quản trị viên trang web và người dùng tạo nội dung tương tác. Lỗ hổng XSS xuất phát từ việc xác nhận hợp lệ thẻ “img” trong plugin Enhanced Image cho CKEditor 4.5.11 và các phiên bản mới hơn. Điều này có thể cho phép kẻ tấn công thực hiện mã HTML và JavaScript tùy ý trong trình duyệt của nạn nhân và truy cập thông tin nhạy cảm.
Lỗ hổng thứ 3 trong một tháng. Lỗ hổng Drupalgeddon3 (CVE-2018-7602) gây ảnh hưởng đến lõi Drupal 7 và 8, đồng thời cho phép kẻ tấn công từ xa đạt được chính xác những gì lỗ hổng Drupalgeddon2 (CVE-2018-7600) đã được phát hiện trước đó cho phép – hoàn toàn chiếm quyền kiểm soát các website dế bị tổn thương. Drupalgeddon3 xuất hiện do xác thực đầu vào không chính xác trong Form API, hay còn được gọi là “renderable arrays”. Rút kinh nghiệm từ việc công bố khai thác PoC của Drupalgeddon2, nhóm Drupal đã không phát hành bất kỳ chi tiết kỹ thuật nào về lỗ hổng nhưng vẫn xuất hiện rất nhiều cuộc tấn công đối với lỗ hổng mới này.
Drupal đã phát hành các bản vá mới và yêu cầu các quản trị viên trang web cập nhật phần mềm của họ càng sớm càng tốt.
**XEM NHIỀU NHẤT: Microsoft phát hành bản vá khẩn cấp cho lỗ hổng nghiêm trọng trong Windown Container** **Quý khách hàng cần tư vấn hỗ trợ về dịch vụ, giải pháp hoặc sản phẩm vui lòng liên hệ:**
Website:
[https://securitybox.vn](https://securitybox.vn/)
Hotline: (+84)90 980 8866 Mr. Kiên
Email: info@securitybox.vn
Địa chỉ: Tầng 9, 459 Đội Cấn, quận Ba Đình, thành phố Hà Nội.
Nguồn: Seucirtydaily

Vary: Accept-Encoding, User-Agent

X-Cache: cached

X-Cache-Hit: HIT

Via: http/1.1 a2nlwpproxy011.prod.iad2.secureserver.net (ApacheTrafficServer/7.1.2 [uSc sSf pSeN:tOc  i p sS])


text:
Búp bê MoxieGirlz 500902 - Búp bê Moxie Girlz cơ bản
Thương hiệu: Moxie Girlz
- Thương hiệu: MoxieGirlz - Mỹ
- Dành cho bé 3 tuổi trở lên
- Sản phẩm an toàn cho bé yêu
Sản phẩm đã Hết hàng
Với khẩu hiệu “Tự tin là chính mình”, dòng nhân vật búp bê Moxie Girlz tạo cảm hứng sáng tạo cho các bé thông qua các nhân vật khác nhau. Mỗi nhân vật có một phong cách và câu chuyện riêng biệt, đặt trong nhiều bối cảnh sống khác nhau, để các bé có thể tự tin thể hiện bản thân mình và vui chơi một cách sinh động, lành mạnh. Với trang phục Búp bê Moxie Girlz, bé sẽ vô cùng thích thú khi bước vào thế giới thời trang cùng những mẫu thời trang đẹp mắt và sinh động.
Gồm: 1 bộ trang phục thời trang của Bup be Moxie Girlz Có 3 chọn lựa cho bạn: - Áo thun đỏ và quần jean năng động - Váy 2 dây màu xanh da trời với vớ sọc đáng yêu - Váy tím với áo khoác ánh bạc lấp lánh
Đặc điểm nổi bật sản phẩm búp bê MoxieGirlz 505723 - Quần áo thời trang Moxie Girlz
Thiết kế đẹp mắt: Búp bê có mái tóc thật kiểu cách và óng ả, mang đến sự thích thú cho bé khi được tự do thay những bộ trang phục thật phong cách cho nàng, giúp nàng thật lấp lánh và nổi bật ở bất cứ nơi đâu.
Chất liệu cao cấp: Được làm từ vải cao cấp theo tiêu chuẩn an toàn của Mỹ, sản phẩm Quần áo thời trang Búp bê MoxieGirlz bảo đảm an toàn cho bé, không gây độc hại, ảnh hưởng đến sức khỏe của bé.
Giúp phát triển tư duy và khả năng sáng tạo của bé: Với trò chơi này, bé có thể thỏa sức tưởng tượng các kiểu dáng thú vị cho nàng búp bê, qua đó khả năng tư duy và óc sáng tạo của bé sẽ được phát huy tối đa, đồng thời giúp bé thật khéo tay khi làm những việc đòi hỏi sự khéo léo.
Kết hợp với các trò chơi khác: Bé có thể lấy những bộ trang phục từ những búp bê khác để thay cho búp bê của mình. Hay bé có thể chải tóc, trang điểm, cho búp bê chơi cùng những nàng công chúa khác trong bộ sưu tập.
Hình ảnh sản phẩm quần áo thời trang Moxie Girlz 505723
Hộp sản phẩm có thiết kế sang trọng với những cô bé winx xinh xắn.
Nhiều mẫu winx và kiểu dáng, màu sắc khác nhau
Búp bê MoxieGirlz 505723
Moxie Girlz là sản phẩm của MGA Entertainment, Hoa Kỳ. Đây là một trong những công ty chuyên về búp bê lớn nhất có trụ sở tại Hoa Kỳ. MGA sở hữu và phát triển những thương hiệu đã đạt nhiều giải thưởng uy tín về đồ chơi như Little Tikes, BFC Ink, 4 Ever Kidz và Rescue Pets. Các sản phẩm của MGA có mặt tại tất cả những trung tâm đồ chơi trẻ em uy tín và các siêu thị đồ chơi trực tuyến danh tiếng trên toàn thế giới. Moxie Girlz - các nhân vật búp bê khích lệ sự tự tin của các bé gái, đã chính thức có mặt ở Việt Nam.

markdown:
# Búp bê MoxieGirlz 500902 - Búp bê Moxie Girlz cơ bản
Thương hiệu:
[Moxie Girlz](/thuong-hieu/moxie-girlz)
- Thương hiệu: MoxieGirlz - Mỹ
- Dành cho bé 3 tuổi trở lên
- Sản phẩm an toàn cho bé yêu
Sản phẩm đã Hết hàng
Với khẩu hiệu “Tự tin là chính mình”, dòng nhân vật
** tạo cảm hứng sáng tạo cho các bé thông qua các nhân vật khác nhau. Mỗi nhân vật có một phong cách và câu chuyện riêng biệt, đặt trong nhiều bối cảnh sống khác nhau, để các bé có thể tự tin thể hiện bản thân mình và vui chơi một cách sinh động, lành mạnh. Với trang phục búp bê Moxie Girlz** **Búp bê Moxie Girlz,**bé sẽ vô cùng thích thú khi bước vào thế giới thời trang cùng những mẫu thời trang đẹp mắt và sinh động.
Gồm: 1 bộ trang phục thời trang của Bup be Moxie Girlz Có 3 chọn lựa cho bạn: - Áo thun đỏ và quần jean năng động - Váy 2 dây màu xanh da trời với vớ sọc đáng yêu - Váy tím với áo khoác ánh bạc lấp lánh
## Đặc điểm nổi bật sản phẩm búp bê MoxieGirlz 505723 - Quần áo thời trang Moxie Girlz
**Thiết kế đẹp mắt:** Búp bê có mái tóc thật kiểu cách và óng ả, mang đến sự thích thú cho bé khi được tự do thay những bộ trang phục thật phong cách cho nàng, giúp nàng thật lấp lánh và nổi bật ở bất cứ nơi đâu. **Chất liệu cao cấp: **Được làm từ vải cao cấp theo tiêu chuẩn an toàn của Mỹ, sản phẩm Quần áo thời trang Búp bê MoxieGirlz bảo đảm an toàn cho bé, không gây độc hại, ảnh hưởng đến sức khỏe của bé.
Giúp phát triển tư duy và khả năng sáng tạo của bé: Với trò chơi này, bé có thể thỏa sức tưởng tượng các kiểu dáng thú vị cho nàng
[búp bê](/danh-muc/do-choi-bup-be), qua đó khả năng tư duy và óc sáng tạo của bé sẽ được phát huy tối đa, đồng thời giúp bé thật khéo tay khi làm những việc đòi hỏi sự khéo léo.
**Kết hợp với các trò chơi khác:** Bé có thể lấy những bộ trang phục từ những búp bê khác để thay cho búp bê của mình. Hay bé có thể chải tóc, trang điểm, cho búp bê chơi cùng những nàng công chúa khác trong bộ sưu tập.
## Hình ảnh sản phẩm quần áo thời trang Moxie Girlz 505723
*Hộp sản phẩm có thiết kế sang trọng với những cô bé winx xinh xắn.* *Nhiều mẫu winx và kiểu dáng, màu sắc khác nhau* *Búp bê MoxieGirlz 505723* **Moxie Girlz** là sản phẩm của MGA Entertainment, Hoa Kỳ. Đây là một trong những công ty chuyên về búp bê lớn nhất có trụ sở tại Hoa Kỳ. MGA sở hữu và phát triển những thương hiệu đã đạt nhiều giải thưởng uy tín về đồ chơi như Little Tikes, BFC Ink, 4 Ever Kidz và Rescue Pets. Các sản phẩm của MGA có mặt tại tất cả những trung tâm [đồ chơi trẻ em](/danh-muc/do-choi-tre-em) uy tín và các siêu thị đồ chơi trực tuyến danh tiếng trên toàn thế giới. Moxie Girlz - các nhân vật búp bê khích lệ sự tự tin của các bé gái, đã chính thức có mặt ở Việt Nam.
|
|![]()
Bạn có muốn tạo tài khoản để cập nhật nhiều ưu đãi không ?

WARC-Type: response

Content-Type: application/http; msgtype=response

WARC-Identified-Payload-Type: text/html

Cache-Control: private

Content-Type: text/html; charset=utf-8

X-Crawler-Content-Encoding: gzip

Set-Cookie: _CookiesCustomerId=PC426B7A6F8DD64,1; expires=Sat, 21-Sep-2019 08:33:22 GMT; path=/