CHỈ CẨN MỞ MỘT HÌNH ẢNH BÌNH THƯỜNG, ĐIỆN THOẠI CỦA BẠN ĐÃ CÓ THỂ BỊ “HACK”

Ngày nay, các clip lặp ngắn, GIF có ở khắp mọi nơi trên phương tiện truyền thông xã hội , trên bảng tin nhắn, trên các cuộc trò chuyện, giúp người dùng thể hiện hoàn hảo cảm xúc của mình, khiến mọi người có thể vui vẻ, thư giãn và làm nổi bật ý nghĩa truyền đạt của cuộc trò chuyện. Nhưng điều gì sẽ xảy ra nếu một lời chào GIF trông ngây thơ với tin nhắn Chào buổi sáng, Chúc mừng sinh nhật hoặc Giáng sinh vui vẻ “hack” chiếc điện thoại đang cầm trên tay của bạn?

Ứng dụng WhatsApp (một ứng dụng nhắn tin đa nền tảng) gần đây đã vá một lỗ hổng bảo mật quan trọng trong ứng dụng dành cho Android, lô hổng này từ khi phát hiện vẫn chưa được vá sau 3 tháng, sau khi bị phát hiện và nếu bị khai thác, có thể cho phép tin tặc xâm nhập các thiết bị Android và có khả năng đánh cắp các tệp, tài nguyên trong máy, và nghiêm trọng hơn là các tin nhắn trò chuyện hoặc tài khoản của ứng dụng khác có trên máy nạn nhân.

WhatsApp Remote Code Execution Vulnerability

Lỗ hổng, được public với ID là CVE-2019-11932, là một lỗ hổng “double-free” , hiểu đơn giản là gọi hàm free 2 lần khi sử bộ nhớ động HEAP trong C. Lỗ hổng này không có trong mã nguồn của ứng dụng WhatsApp mà có trong thư viện mã nguồn mở mà WhatsApp sử dụng để xử lý ảnh.

Được phát hiện bởi nhà nghiên cứu bảo mật người Việt Nam Phạm Hồng Nhật vào tháng 5 năm nay, lỗ hổng này dẫn đến các cuộc tấn công thực thi mã từ xa (RCE), cho phép kẻ tấn công thực thi mã tùy ý trên các thiết bị di động có sử dụng WhatsApp.

“Payload (mã khai thác) được thực thi trong WhatsApp context. Do đó, nó có quyền đọc SDCard và truy cập cơ sở dữ liệu tin nhắn WhatsApp”, tác giả trả lời trong cuộc phỏng vấn với Thehackernews.

“Mã độc hại sẽ có tất cả các quyền mà WhatsApp có, bao gồm ghi âm, truy cập máy ảnh, truy cập hệ thống tệp, cũng như các tập tin sandbox của WhatsApp bao gồm cơ sở tin nhắn, các cuộc trò chuyện được bảo vệ bởi ứng dụng, v.v.

Lỗ hổng này hoạt động ra sao?

WhatsApp sử dụng thư viện phân tích cú pháp để tạo bản xem trước (preview) cho các tệp GIF khi người dùng mở thiết bị của họ trước khi gửi các tệp này cho bạn bè hay gia đình.

Vì vậy lỗ hổng này không được “kích hoạt” bằng cách gửi tệp GIF độc hại cho nạn nhân. Thay vào dó nó được kích hoạt khi nạn nhân chọn bộ thư viện WhatsApp Gallery Picker và gửi những tấm ảnh này cho người khác.

Bạn đọc có thể xem PoC tại đây:

Để khai thác lỗ hổng này, tất cả những gì kẻ tấn công cần làm là gửi tệp GIF độc hại được tạo thủ công (chèn mã độc) cho người dùng Android thông qua bất kỳ kênh trực tuyến và đợi người dùng mở thư viện hình ảnh trong WhatsApp.

Tuy nhiên, nếu kẻ tấn công muốn gửi tệp GIF cho nạn nhân thông qua bất kỳ nền tảng nhắn tin nào như WhatsApp hoặc Messenger, họ cần gửi tệp đó dưới dạng tệp tài liệu thay vì tệp đính kèm tệp phương tiện, vì khi nén hình ảnh được sử dụng bởi các dịch vụ này sẽ làm sai lệch mã độc hại ẩn trong hình ảnh .

Phiên bản ứng dụng tồn tại lỗ hổng, và các bản vá

Lỗ hổng này ảnh hưởng đến các phiên bản ứng dụng WhatsApp 2.19.230 và các phiên bản cũ hơn chạy trên hệ điều hành Android 8.1 và 9.0, không tồn tại với hệ điều hành Android 8.0 trở xuống.

“Trong các phiên bản Android cũ hơn, lỗ hổng “double-free” vẫn có thể được tác động. Tuy nhiên, do hàm malloc gọi bởi system sau khi gọi các hàm free, ứng dụng chỉ có thể bị khai thác khi tôi kiểm soát được các thanh ghi trên PC”, nhà nghiên cứu viết.

Tác giả Pham Hong Nhat nói với The Hacker News rằng anh ấy đã báo cáo lỗ hổng cho Facebook, người sở hữu WhatsApp, vào cuối tháng 7 năm nay và công ty đã phát triển một bản vá bảo mật trong phiên bản WhatsApp 2.19.244, được phát hành vào tháng 9.

Do đó, để bảo vệ thiết bị của mình trước mọi nguy cơ từ lỗ hổng này, bạn nên cập nhật WhatsApp lên phiên bản mới nhất từ ​​Cửa hàng Google Play càng sớm càng tốt.

Bên cạnh đó, do lỗ hổng nằm trong thư viện nguồn mở, nên cũng có thể bất kỳ ứng dụng Android nào khác sử dụng cùng thư viện bị ảnh hưởng cũng có thể dễ bị tấn công tương tự.Nhà phát triển thư viện GIF bị ảnh hưởng, đó là Android GIF Drawable, cũng đã phát hành phiên bản 1.2.18 của phần mềm để vá lỗ hổng “double-free” này.

WhatsApp cho iOS không bị ảnh hưởng bởi lỗ hổng này.

Chúng tôi sẽ có một bài phân tích kĩ thuật về lỗ hổng này, mời bạn đọc chú ý theo dõi và đón xem.

Nguồn: Thehackernews.com