WhiteHat News #ID:2018
WhiteHat Support
-
20/03/2017
-
129
-
443 bài viết
Apple vá hai lỗ hổng zero-day trên iOS
Các nhà nghiên cứu của ZecOps vừa tiết lộ hai lỗ hổng zero-day ảnh hưởng đến ứng dụng Mail mặc định trên iOS. Cả hai đều có thể bị tấn công từ xa và đã bị khai thác trên thực tế trong nhiều năm.
Để khai thác, hacker chỉ cần gửi một email đến ứng dụng Mail mặc định trên các thiết bị iOS (iPhone hoặc iPad).
Theo Satnam Narang, trưởng nhóm nghiên cứu: “Khai thác những lỗ hổng này có thể cho phép kẻ tấn công làm rò rỉ, chỉnh sửa hoặc xóa các email trong ứng dụng Mail. Nghiêm trọng hơn, nếu kết hợp với một lỗi trong kernel chưa được vá khác sẽ tạo điều kiện cho kẻ tấn công giành được quyền truy cập vào thiết bị.”.
Lỗ hổng đầu tiên là lỗi ghi out-of-bound (ghi ngoại vi).
- Thư viện bị ảnh hưởng: “/System/Library/PrivateFrameworks/MIME.framework/MIME”
- Chức năng dính lỗ hổng: “[MFMutableData appendBytes:length:]”
Lỗ hổng thứ hai là một lỗi tràn bộ nhớ heap (heap overflow) có thể được kích hoạt từ xa.
Cả hai lỗi này đều do cùng một nguyên nhân: không xử lý chính xác giá trị trả về từ các cuộc gọi của hệ thống.
Để khai thác lỗ hổng không nhất thiết phải có một lượng email thật sự lớn, chỉ cần vừa đủ để có thể làm tiêu hao bộ nhớ RAM. Có nhiều cách để thực hiện điều này, như sử dụng RTF (Rich text format) hoặc các phương pháp khác.
Lỗ hổng có thể được kích hoạt trước khi toàn bộ email được tải về, vì vậy nội dung email sẽ không nhất thiết phải được lưu giữ trên thiết bị.
Không loại trừ khả năng kẻ tấn công có thể xóa toàn bộ các email còn lại nếu khai thác thành công.
Trên iOS 13, kẻ tấn công không sẽ không cần tương tác từ nạn nhân nếu ứng dụng Mail được mở ở chế độ chạy nền.
Tấn công trên iOS 12 sẽ cần nạn nhân click vào email. Khi đó cuộc tấn công sẽ được kích hoạt trước khi hiển thị nội dung email và người dùng không nhận ra dấu hiệu bất thường nào.
Riêng trên iOS 12, lỗ hổng sẽ được kích hoạt không cần tương tác từ người dùng nếu kẻ tấn công kiểm soát được máy chủ mail.
Cả hai lỗ hổng đều tồn tại kể từ bản iOS 6 (phát hành tháng 09/2012) khi iPhone 5 được ra mắt. Cuộc tấn công đầu tiên được phát hiện là trên iOS 11.2.2 vào tháng 01/2018.
Mục tiêu của kẻ tấn công là các cá nhân từ các tổ chức thuộc Fortune 500 của Bắc Mỹ, cùng với các chuyên gia đến từ một nhà mạng tại Nhật Bản và một số mục tiêu “VIP” khác.
Apple đã phát hành bản iOS 13.4.5 beta để giảm thiểu nguy cơ bị tấn công từ hai lỗ hổng này. Bản vá chính thức sẽ sớm cập nhật đến người dùng.
Theo các chuyên gia, trong thời gian chờ cập nhật bản vá chính thức, người dùng nên tắt ứng dụng Mail trên các thiết bị iOS.
Theo Satnam Narang, trưởng nhóm nghiên cứu: “Khai thác những lỗ hổng này có thể cho phép kẻ tấn công làm rò rỉ, chỉnh sửa hoặc xóa các email trong ứng dụng Mail. Nghiêm trọng hơn, nếu kết hợp với một lỗi trong kernel chưa được vá khác sẽ tạo điều kiện cho kẻ tấn công giành được quyền truy cập vào thiết bị.”.
Lỗ hổng đầu tiên là lỗi ghi out-of-bound (ghi ngoại vi).
- Thư viện bị ảnh hưởng: “/System/Library/PrivateFrameworks/MIME.framework/MIME”
- Chức năng dính lỗ hổng: “[MFMutableData appendBytes:length:]”
Lỗ hổng thứ hai là một lỗi tràn bộ nhớ heap (heap overflow) có thể được kích hoạt từ xa.
Cả hai lỗi này đều do cùng một nguyên nhân: không xử lý chính xác giá trị trả về từ các cuộc gọi của hệ thống.
Để khai thác lỗ hổng không nhất thiết phải có một lượng email thật sự lớn, chỉ cần vừa đủ để có thể làm tiêu hao bộ nhớ RAM. Có nhiều cách để thực hiện điều này, như sử dụng RTF (Rich text format) hoặc các phương pháp khác.
Lỗ hổng có thể được kích hoạt trước khi toàn bộ email được tải về, vì vậy nội dung email sẽ không nhất thiết phải được lưu giữ trên thiết bị.
Không loại trừ khả năng kẻ tấn công có thể xóa toàn bộ các email còn lại nếu khai thác thành công.
Trên iOS 13, kẻ tấn công không sẽ không cần tương tác từ nạn nhân nếu ứng dụng Mail được mở ở chế độ chạy nền.
Tấn công trên iOS 12 sẽ cần nạn nhân click vào email. Khi đó cuộc tấn công sẽ được kích hoạt trước khi hiển thị nội dung email và người dùng không nhận ra dấu hiệu bất thường nào.
Riêng trên iOS 12, lỗ hổng sẽ được kích hoạt không cần tương tác từ người dùng nếu kẻ tấn công kiểm soát được máy chủ mail.
Cả hai lỗ hổng đều tồn tại kể từ bản iOS 6 (phát hành tháng 09/2012) khi iPhone 5 được ra mắt. Cuộc tấn công đầu tiên được phát hiện là trên iOS 11.2.2 vào tháng 01/2018.
Mục tiêu của kẻ tấn công là các cá nhân từ các tổ chức thuộc Fortune 500 của Bắc Mỹ, cùng với các chuyên gia đến từ một nhà mạng tại Nhật Bản và một số mục tiêu “VIP” khác.
Apple đã phát hành bản iOS 13.4.5 beta để giảm thiểu nguy cơ bị tấn công từ hai lỗ hổng này. Bản vá chính thức sẽ sớm cập nhật đến người dùng.
Theo các chuyên gia, trong thời gian chờ cập nhật bản vá chính thức, người dùng nên tắt ứng dụng Mail trên các thiết bị iOS.
Theo Threatpost và blog của Zecops