WhiteHat News #ID:2018
WhiteHat Support
-
20/03/2017
-
129
-
443 bài viết
Điện thoại Android dùng WhatsApp có thể bị hack chỉ bằng một bức ảnh GIF
GIF là loại định dạng ảnh động được sử dụng phổ biến trên mạng xã hội hiện nay giúp người dùng thể hiện cảm xúc của mình. Nhưng một bức ảnh GIF trông “vô hại có thể khiến smartphone bị hack. Lỗ hổng được phát hiện bởi nhà nghiên cứu người Việt Phạm Hồng Nhật.
WhatsApp vừa vá một lỗ hổng an ninh nghiêm trọng (CVE-2019-11932) cho phiên bản dành cho điện thoại Android. Lỗ hổng này đã được phát hiện từ trước đó ít nhất 3 tháng, và nếu bị khai thác có thể cho phép tin tặc xâm nhập thiết bị Android, đánh cắp các tệp tin cũng như tin nhắn trò chuyện của người dùng.
Lỗ hổng thực thi mã từ xa trong Whats App
Lỗ hổng này xảy ra do lỗi hỏng bộ nhớ double-free (cho phép thực thi mã từ xa nếu người dùng tương tác với nội dung độc hại), không thực sự nằm trong code của WhatsApp mà trong thư viện phân tích ảnh GIF mã nguồn mở được WhatsApp sử dụng.
Theo Phạm Hồng Nhật, khai thác thành công sẽ dẫn đến các cuộc tấn công thực thi mã từ xa, cho phép tin tặc thực thi mã tùy ý trên thiết bị mục tiêu với điều kiện WhatsApp được cài đặt trên thiết bị.
“Payload được thực thi trong phạm vi của WhatsApp, do đó cho phép đọc thẻ nhớ SD và truy cập cơ sở dữ liệu tin nhắn của WhatsApp.
Code độc hại sẽ có tất cả các quyền như WhatsApp, bao gồm ghi âm, truy cập camera và hệ thống file cũng như bộ lưu trữ sandbox của WhatsApp có chứa cơ sở dữ liệu trò chuyện ...”.
Lỗ hổng RCE trên WhatsApp bị khai thác như thế nào?
WhatsApp sử dụng thư viện phân tích để tạo ra các bản xem trước file ảnh GIF khi người dùng mở thư viện ảnh của thiết bị trước khi gửi bất kỳ file nào cho bạn bè hoặc gia đình họ.
Do đó, việc gửi một file ảnh GIF độc hại cho nạn nhân sẽ không khiến lỗ hổng bị kích hoạt, mà chỉ khi chính nạn nhân mở Gallery Picker (bộ thư viện ảnh) của WhatsApp để gửi đi tệp hình ảnh bất kỳ.
Để khai thác lỗ hổng, kẻ tấn công cần gửi một file ảnh GIF độc hại tự tạo đến thiết bị Android mục tiêu qua bất kỳ kênh trực tuyến nào và đợi cho đến khi người dùng mở thư viện ảnh trong WhatsApp.
Tuy nhiên, nếu kẻ tấn công muốn gửi file GIF đến nạn nhân qua nền tảng tin nhắn như của WhatsApp hay Messenger thì cần gửi dưới dạng một tệp tài liệu chứ không phải các tệp đính kèm hình ảnh, bởi việc nén ảnh bằng những dịch vụ này làm biến dạng payload độc hại được ẩn trong các bức ảnh.
Ngoài ra, lỗ hổng cũng thể bị khai thác để pop-up một reverse shell từ xa từ thiết bị bị hack.
Clip demo khai thác lỗ hổng:
Thiết bị, phiên bản bị ảnh hưởng và bản vá lỗ hổng
Lỗi này ảnh hưởng đến WhatsApp phiên bản 2.19.230 trở về trước chạy Android 8.1 và 9.0. Các phiên bản Android từ 8.0 trở xuống không bị ảnh hưởng.
Do đó, để tránh bị khai thác, người dùng được khuyến cáo cập nhật ngay WhatsApp lên phiên bản mới nhất trên Google Play Store.
Lỗ hổng nằm trong thư viện mã nguồn mở nên bất kỳ thiết bị Android sử dụng cùng loại thư viện được đề cập ở trên cũng có thể dính lỗ hổng dẫn đến bị tấn công.
Android GIF Drawable - nhà phát triển của thư viện ảnh GIF bị ảnh hưởng cũng đã phát hành phiên bản phần mềm 1.2.18 để vá lỗ hổng double-free này.
Trong khi đó, WhatsApp trên iOS không bị ảnh hưởng bởi lỗi này.
WhatsApp vừa vá một lỗ hổng an ninh nghiêm trọng (CVE-2019-11932) cho phiên bản dành cho điện thoại Android. Lỗ hổng này đã được phát hiện từ trước đó ít nhất 3 tháng, và nếu bị khai thác có thể cho phép tin tặc xâm nhập thiết bị Android, đánh cắp các tệp tin cũng như tin nhắn trò chuyện của người dùng.
Lỗ hổng thực thi mã từ xa trong Whats App
Lỗ hổng này xảy ra do lỗi hỏng bộ nhớ double-free (cho phép thực thi mã từ xa nếu người dùng tương tác với nội dung độc hại), không thực sự nằm trong code của WhatsApp mà trong thư viện phân tích ảnh GIF mã nguồn mở được WhatsApp sử dụng.
Theo Phạm Hồng Nhật, khai thác thành công sẽ dẫn đến các cuộc tấn công thực thi mã từ xa, cho phép tin tặc thực thi mã tùy ý trên thiết bị mục tiêu với điều kiện WhatsApp được cài đặt trên thiết bị.
“Payload được thực thi trong phạm vi của WhatsApp, do đó cho phép đọc thẻ nhớ SD và truy cập cơ sở dữ liệu tin nhắn của WhatsApp.
Code độc hại sẽ có tất cả các quyền như WhatsApp, bao gồm ghi âm, truy cập camera và hệ thống file cũng như bộ lưu trữ sandbox của WhatsApp có chứa cơ sở dữ liệu trò chuyện ...”.
Lỗ hổng RCE trên WhatsApp bị khai thác như thế nào?
WhatsApp sử dụng thư viện phân tích để tạo ra các bản xem trước file ảnh GIF khi người dùng mở thư viện ảnh của thiết bị trước khi gửi bất kỳ file nào cho bạn bè hoặc gia đình họ.
Do đó, việc gửi một file ảnh GIF độc hại cho nạn nhân sẽ không khiến lỗ hổng bị kích hoạt, mà chỉ khi chính nạn nhân mở Gallery Picker (bộ thư viện ảnh) của WhatsApp để gửi đi tệp hình ảnh bất kỳ.
Để khai thác lỗ hổng, kẻ tấn công cần gửi một file ảnh GIF độc hại tự tạo đến thiết bị Android mục tiêu qua bất kỳ kênh trực tuyến nào và đợi cho đến khi người dùng mở thư viện ảnh trong WhatsApp.
Tuy nhiên, nếu kẻ tấn công muốn gửi file GIF đến nạn nhân qua nền tảng tin nhắn như của WhatsApp hay Messenger thì cần gửi dưới dạng một tệp tài liệu chứ không phải các tệp đính kèm hình ảnh, bởi việc nén ảnh bằng những dịch vụ này làm biến dạng payload độc hại được ẩn trong các bức ảnh.
Ngoài ra, lỗ hổng cũng thể bị khai thác để pop-up một reverse shell từ xa từ thiết bị bị hack.
Clip demo khai thác lỗ hổng:
Thiết bị, phiên bản bị ảnh hưởng và bản vá lỗ hổng
Lỗi này ảnh hưởng đến WhatsApp phiên bản 2.19.230 trở về trước chạy Android 8.1 và 9.0. Các phiên bản Android từ 8.0 trở xuống không bị ảnh hưởng.
Do đó, để tránh bị khai thác, người dùng được khuyến cáo cập nhật ngay WhatsApp lên phiên bản mới nhất trên Google Play Store.
Lỗ hổng nằm trong thư viện mã nguồn mở nên bất kỳ thiết bị Android sử dụng cùng loại thư viện được đề cập ở trên cũng có thể dính lỗ hổng dẫn đến bị tấn công.
Android GIF Drawable - nhà phát triển của thư viện ảnh GIF bị ảnh hưởng cũng đã phát hành phiên bản phần mềm 1.2.18 để vá lỗ hổng double-free này.
Trong khi đó, WhatsApp trên iOS không bị ảnh hưởng bởi lỗi này.
Theo The Hacker News