Google thử nghiệm tấn công từ xa iPhone không cần tương tác người dùng

[WhiteHat News #ID:2112]

Một lỗ hổng trong phiên bản iOS cũ hơn cho phép kẻ tấn công xâm nhập vào điện thoại iPhone từ xa mà không cần bất kỳ tương tác nào của người dùng.

Lỗ hổng, được phát hiện trong iOS 12.4 và đã được khắc phục trong iOS 12.4.1 vào giữa năm 2019, về cơ bản cho phép kẻ xấu truy cập vào hầu hết mọi thứ trên iPhone, nhà nghiên cứu của Google cho biết.

Điều duy nhất mà hacker cần là Apple ID của người sử dụng để khởi động một cuộc tấn công, vốn chỉ mất vài phút. Sau đó, kẻ tấn công có thể truy cập các tệp, mật khẩu, mã xác thực hai yếu tố, SMS, tin nhắn khác, email và dữ liệu ứng dụng. Tệ hơn nữa, hacker có thể kích hoạt micro và camera để theo dõi người dùng iPhone.

Lỗ hổng, CVE-2019-8641, cho phép tin tặc bỏ qua ASLR (Ngẫu nhiên hóa sơ đồ không gian địa chỉ), sau đó khởi chạy thực thi mã từ xa bên ngoài sandbox mà không cần người dùng phải làm gì.

iOS 12.4 là phiên bản bị ảnh hưởng

Nhà nghiên cứu Google giải thích dù lỗ hổng đã được giải quyết, cần phải có các biện pháp giảm thiểu bổ sung để ngăn chặn các vấn đề tương tự.

Mặc dù lỗ hổng cho phép kẻ tấn công hoàn toàn xâm nhập iPhone, chỉ các thiết bị chạy iOS 12.4 bị ảnh hưởng. Vì vậy người dùng được khuyến cáo cập nhật lên phiên bản mới nhất càng sớm càng tốt.

Theo Softpedia​