Lỗ hổng nghiêm trọng trên Instagram cho phép tin tặc truy cập từ xa vào điện thoại của người dùng

Đã bao giờ bạn tự hỏi làm thế nào mà hacker lại có thể xâm nhập vào điện thoại của mình từ xa hay chưa?



Trong một báo cáo mới được công bố gần đây, các nhà nghiên cứu của Checkpoint đã tiết lộ thông tin chi tiết về một lỗ hổng nghiêm trọng xuất hiện trên ứng dụng Android của Instagram. Được biết lỗ hổng này có thể cho phép kẻ tấn công chiếm quyền kiểm soát thiết bị của nạn nhân từ xa đơn giản bằng cách gửi cho họ một hình ảnh được tạo đặc biệt.



Đáng lo ngại hơn là lỗ hổng này không chỉ cho phép kẻ tấn công giả danh người dùng Instagram và thực hiện những hành vi độc hại như theo dõi tin nhắn riêng, xóa hay đăng ảnh mới trên tài khoản của họ mà nó còn cho phép chúng thực thi mã tùy ý trên thiết bị của nạn nhân.



Theo bản tư vấn bảo mật mà Facebook công bố, lỗi tràn bộ nhớ heap này ( CVE-2020-1895 , điểm CVSS: 7,8) ảnh hưởng đến tất cả các phiên bản Instagram từ 128.0.0.26.128 trở về trước. Phiên bản này mới được phát hành vào ngày 10 tháng 2 năm nay.



“Lỗ hổng này đã vô tình biến điện thoại trở thành một công cụ nguy hiểm giúp kẻ tấn công theo dõi người dùng mà họ không hề hay biết. Nó còn tiếp tay cho chúng thực hiện những hành vi thao túng độc hại trên chính tài khoản Instagram của nạn nhân,” Check Point cho biết trong một bài phân tích .



“Dù rơi vào phải trường hợp nào thì người dùng cũng đều đối mặt với nguy cơ bị xâm phạm quyền riêng tư, ảnh hưởng đến danh tiếng, hay thậm chí còn phải đối mặt với các rủi ro bảo mật nghiêm trọng khác.”



Sau khi những phát hiện này được thông báo cho Facebook, “gã khổng lồ công nghệ” đã nhanh chóng giải quyết lỗ hổng bằng một bản vá được phát hành sáu tháng trước. Để giảm thiểu rủi ro mà lỗ hổng có thể gây ra, Facebook đã trì hoãn việc tiết lộ công khai lỗi bảo mật nhằm cho phép phần lớn người dùng Instagram có thời gian cập nhật lên phiên bản mới của ứng dụng.



Mặc dù Facebook xác nhận rằng không có dấu hiệu nào cho thấy lỗ hổng này đã bị khai thác trên diện rộng. Tuy nhiên sự phát triển của những lỗi bảo mật như trên chính là lời nhắc nhở tới người dùng về sự cần thiết của việc cập nhật ứng dụng thường xuyên, cũng như phải hết sức cẩn trọng với những đặc quyền mà họ cấp cho ứng dụng.



Lỗ hổng tràn bộ nhớ Heap 



Theo Check Point, lỗ hổng gián đoạn bộ nhớ này cho phép kẻ tấn công thực thi mã từ xa và có được nhiều đặc quyền như truy cập vào máy ảnh, danh bạ, GPS, thư viện ảnh và micro của người dùng. Hoặc nó có thể bị lợi dụng để thực hiện bất kỳ hành vi độc hại nào trên thiết bị bị lây nhiễm.



Được biết lỗ hổng bắt nguồn từ cách Instagram tích hợp MozJPEG   – một thư viện mã hóa JPEG mã nguồn mở có chức năng làm giảm băng thông và giúp hình ảnh có được khả năng nén tốt hơn khi tải lên ứng dụng. Việc tích hợp không đúng cách thư viện trên đã dẫn tới tràn số nguyên khi hàm (function) (“read_jpg_copy_loop”) cố gắng phân tích một hình ảnh độc hại với kích thước được tạo đặc biệt.



Bằng cách trên, kẻ tấn công đã giành quyền kiểm soát kích thước của bộ nhớ được cấp cho hình ảnh, ghi đè độ dài của dữ liệu và nội dung của vùng nhớ bị tràn. Từ đó cho chúng làm sai lạc các vị trí cụ thể trong bộ nhớ heap và làm chệch hướng quá trình thực thi mã.



Để có thể khai thác lỗ hổng, tất cả những gì kẻ tấn công cần làm là gửi một hình ảnh JPEG bị lỗi cho nạn nhân qua email hoặc WhatsApp. Khi người nhận lưu hình ảnh trên thiết bị và khởi chạy Instagram, việc khai thác sẽ diễn ra tự động và cấp cho kẻ tấn công toàn quyền kiểm soát ứng dụng.



Tệ hơn là, việc khai thác còn có thể bị lợi dụng để làm sập ứng dụng Instagram của người dùng và khiến ứng dụng này không thể truy cập được trừ khi nó bị xóa và cài đặt lại trên thiết bị.



Lỗ hổng trên đã cho thấy việc kết hợp thư viện của bên thứ ba vào các ứng dụng và dịch vụ có thể trở thành một điểm yếu bảo mật nguy hiểm nếu việc tích hợp không được thực hiện đúng cách.



“Việc kiểm thử fuzzing các mã code bị ảnh hưởng đã làm xuất hiện một số lỗ hổng bảo mật mới. Những lỗi này sau đó đã nhanh chóng được khắc phục. Nếu bị khai thác, một trong những lỗ hổng có thể dẫn tới thực thi mã từ xa (RCE) trong các cuộc tấn công zero-click,” Gal Elbaz, chuyên gia bảo mật của Check Point cho biết.



“Không may là, các lỗi bảo mật khác có thể vẫn còn tồn tại hoặc sẽ xuất hiện trong tương lai gần. Do đó, việc fuzz-testing liên tục các mã phân tích định dạng phương tiện trên và một số mã tương tự khác, cả trong thư viện hệ điều hành và thư viện bên thứ ba, là điều hoàn toàn cần thiết.”



Yaniv Balmas, người đứng đầu bộ phận nghiên cứu an ninh mạng tại Check Point, đã đề xuất một số biện pháp bảo đảm an toàn cho người dùng điện thoại thông minh như sau:




Update! Update! Update! Hãy đảm bảo là bạn thường xuyên cập nhật các ứng dụng và hệ điều hành trên điện thoại của mình. Hàng chục bản vá bảo mật quan trọng được đưa ra trong các bản cập nhật hàng tuần, và nếu không nhanh chóng cập nhật, nó có thể gây ảnh hưởng nghiêm trọng đến quyền riêng tư của bạn.

Giám sát quyền hạn của ứng dụng . Hãy cẩn trọng với những ứng dụng yêu cầu quá nhiều đặc quyền trên thiết bị của bạn. Việc yêu cầu quyền hạn quá mức vô cùng dễ dàng với các nhà phát triển ứng dụng khi mà người dùng thường nhanh chóng click vào ‘Allow’ mà không hề cảnh giác.

Hãy suy nghĩ kỹ trước khi phê duyệt . Hãy dành vài giây để suy nghĩ trước khi bạn đồng ý bất cứ thỏa thuận gì. Hãy tự hỏi bản thân xem bạn có thực sự muốn cấp quyền truy cập cho ứng dụng này không, và nghĩ kỹ xem bạn có thực sự cần nó hay không? Nếu câu trả lời là không, thì đừng dại gì mà phê duyệt.
Theo The Hacker News
The post Lỗ hổng nghiêm trọng trên Instagram cho phép tin tặc truy cập từ xa vào điện thoại của người dùng appeared first on SecurityDaily .