Người dùng cần cẩn thận khi xem video trên điện thoại Android

Bạn đang sử dụng thiết bị Android? Hãy cẩn thận khi bật video trên điện thoại của mình

Một tệp video tưởng chừng như vô hại lại có thể gây hại cho điện thoại của bạn bởi một lỗ hổng thực thi mã từ xa nghiêm trọng ảnh hưởng đến hơn 1 tỷ thiết bị chạy hệ điều hành Android từ 7.0 đến 9.0 (Nougat, Oreo, hoặc Pie).

Lỗ hổng RCE nghiêm trọng (CVE-2019-2107) nằm trong media framework của Android, nếu bị khai thác, có thể cho phép kẻ tấn công từ xa thực thi mã tùy ý trên thiết bị mục tiêu.

Để chiếm toàn quyền kiểm soát thiết bị, tất cả những gì kẻ tấn công cần là “lừa” người dùng bật một đoạn video đặc biệt trên ứng dụng phát video của Android.

Dù Google đã phát hành bản vá vào đầu tháng này để vá lỗ hổng, nhưng rõ ràng hàng triệu thiết bị Android vẫn đang chờ đợi bản cập nhật an ninh mới nhất của các nhà sản xuất thiết bị tương ứng.

Android Exploit

Điều khiến vấn đề trở nên đáng lo ngại hơn là nhà phát triển Android Marcin Kozlowski đã đăng tải PoC trên Github.

Dù trong PoC của Kozlowski, video khai thác mới chỉ dừng lại ở việc gây lỗi cho ứng dụng Media player, đây có thể là nguyên liệu giúp các hacker tìm ra cách khai thác lỗ hổng RCE trên thiết bị mục tiêu.

Tuy nhiên, cần phải lưu ý rằng tấn công sẽ không thành công khi những video độc hại được gửi qua các ứng dụng nhắn tin như WhatsApp và Facebook Messenger hoặc tải lên các dịch vụ như YouTube hoặc Twitter.

Lý do là vì những dịch vụ này thường xuyên nén video và mã hóa lại các file media làm biến dạng mã độc được nhúng.

Cách tốt nhất để bảo vệ bản thân khỏi cuộc tấn công là đảm bảo rằng bạn đã cập nhật hệ điều hành trên điện thoại ngay khi bản vá mới nhất được phát hành.

Bạn cũng nên tránh tải xuống hoặt bật các video ngẫu nhiên từ những nguồn không đáng tin cậy, và tuân theo các bước bảo mật và quyền riêng tư cơ bản.

Theo Thehackernews

Khóa học Hacker Mũ Trắng – AEH

• Khóa học Chuyên gia An ninh mạng – AN2S
• Khóa học Hacker Mũ Trắng – AEH
• Khóa học Quản trị mạng nâng cao – MCSA

Tuy nhiên, tại thời điểm đó mới chỉ có thông tin sơ bộ về lỗ hổng XSS (cross-site scripting) này. Theo đó, lỗ hổng cho phép kẻ tấn công chạy các script trong ngữ cảnh người dùng hiện tại thông qua gửi một email độc hại tới các nạn nhân.

Hiện tại, chuyên gia Bryan Appleby (F5 Networks) – người đã thông báo tới Microsoft về lỗ hổng từ 6 tháng trước, đã công bố PoC và chi tiết lỗ hổng.

Appleby cho biết đã vô tình phát hiện lỗ hổng XSS này trong khi trao đổi một số mã JavaScript với bạn bè qua email. Lỗ hổng cho phép hacker nhúng iframe vào email. Nói cách khác, lỗ hổng tồn tại trong cách máy chủ email phân tích các đối tượng HTML trong các tin nhắn email.

Mặc dù JavaScript chạy bên trong iframe chỉ có thể truy cập nội dung bên trong đó, tuy nhiên, Appleby phát hiện rằng việc thực thi JavaScript trong iframe cho phép hacker đọc nội dung liên quan đến ứng dụng trong ngữ cảnh người dùng Outlook đã đăng nhập, bao gồm cookies, token và thậm chí một số nội dung trong hộp thư đến.

Ông cho biết, lỗ hổng cho phép “đánh cắp dữ liệu từ ứng dụng – tôi có thể lợi dụng lỗ hổng để đọc và trích xuất HTML”.

“Loại lỗ hổng này có thể bị hacker khai thác thông qua gửi email có chứa JavaScript. Máy chủ sẽ bỏ qua JavaScript đó bởi nó nằm trong iframe. Khi gửi đi, mail khách tự động hoàn tác việc thoát ra và JavaScript sẽ chạy trên thiết bị khách. Sau đó có thể thực thi mã từ xa”, Appleby giải thích.

“Đoạn mã đó có thể làm bất cứ điều gì kẻ tấn công mong muốn, như đánh cắp thông tin, gửi dữ liệu ra ngoài. Hacker có thể gửi email cho bạn và chỉ cần bạn đọc mail đó, hacker sẽ đánh cắp nội dung trong hộp thư đến của bạn”.

Appleby đã báo cáo phát hiện của mình tới Microsoft từ 10/12/2018 và hãng này đã xác nhận lỗ hổng hôm 26/3 năm nay.

Microsoft đã vá lỗ hổng và đưa ra bản cập nhật hôm 20/6, gần 6 tháng sau khi được thông báo. Hãng cho biết chưa phát hiện bất kỳ cuộc tấn công khai thác lỗ hổng nào trong thực tế.

Ngoài Appleby, các chuyên gia Sander Vanrapenbusch, Tom Wyckhuys, Eliraz Duek (CyberArk) và Gaurav Kumar cũng đã báo cáo vấn đề tương tự với Microsoft vài tháng trở lại đây.

Người dùng lưu ý, nếu thiết bị Android của bạn chưa được cập nhật tự động, nãy update ứng dụng Outlook trên Google Play theo cách thủ công.

The Hacker News

Khóa học Hacker Mũ Trắng – AEH

• Khóa học Chuyên gia An ninh mạng – AN2S
• Khóa học Hacker Mũ Trắng – AEH
• Khóa học Quản trị mạng nâng cao – MCSA