Lỗ hổng 0-day mới ảnh hưởng đến hầu hết các thiết bị Android, đã bị khai thác trong thực tế

[WhiteHat News #ID:2018]

Hệ điều hành phổ biến nhất trên di động hiện nay- Android vừa bị phát hiện dính lỗ hổng zero-day nghiêm trọng (CVE-2019-2215) và hiện chưa có bản vá.

Lỗ hổng này đã được NSO Group (một công ty của Israel chuyên cung cấp các dịch vụ giám sát và các mã khai thác zero-day cho chính phủ hoặc khách hàng) khai thác trên thực tế và giành quyền kiểm soát các thiết bị Android mục tiêu.

Nhà nghiên cứu Maddie Stone thuộc Project Zero, người phát hiện ra lỗ hổng cho biết, chi tiết và cách khai thác cho lỗi này đã được công bố rộng rãi - chỉ 7 ngày sau khi lỗ hổng được báo cáo cho đội ngũ bảo mật của Android.

Đây là lỗi use-after-free (truy cập vào vùng nhớ đã đuợc giải phóng) của binder driver trong nhân Android, có thể cho phép kẻ tấn công local hoặc một ứng dụng có thể leo thang chiếm đặc quyền root và truy cập đuợc đến thiết bị dính lỗ hổng, sau đó chiếm toàn quyền điều khiển thiết bị từ xa.

Những thiết bị bị ảnh hưởng

Lỗ hổng này nằm trong những phiên bản nhân Android phát hành trước tháng 4 năm ngoái, đã từng có 1 bản vá trong nhân Linux 4.14 LTS đuợc công bố tháng 12 năm 2017 nhưng chỉ được tích hợp vào trong nhân Android AOSP phiên bản 3.18, 4.4 và 4.9.

Đa số các thiết bị Android hiện nay có nhân chưa vá vẫn còn tồn tại lỗ hổng này kể cả sau khi đã cập nhật Android lên phiên bản mới nhất, bao gồm các dòng smartphone phổ biến:

• Pixel 1, Pixel 1 XL, Pixel 2, Pixel 2 XL
• Huawei P20
• Xiaomi Redmi 5A, Xiaomi Redmi Note 5, Xiaomi A1
• Oppo A3
• Moto Z3
• Oreo LG phones
• Samsung S7, S8, S9

Điện thoại Pixel 3, 3 XL và 3a chạy nhân Android mới nhất không bị ảnh hưởng bởi lỗi này.

Lỗ hổng trên Android có thể bị khai thác từ xa

Theo nhà nghiên cứu Maddie Stone, vì lỗi này "có thể truy cập đuợc từ trong Chrome sandbox", lỗ hổng zero-day trong nhân Android cũng có thể bị khai thác từ xa bằng cách kết hợp với một lỗi render khác của Chrome.

Sẽ sớm có bản vá

Google sẽ phát hành bản vá cho lỗ hổng này trong Android Security Bulletin vào những ngày tới, đồng thời đã thông báo cho các nhà sản xuất thiết bị gốc (OEM). Tuy nhiên, phần lớn thiết bị bị ảnh hưởng sẽ không cập nhật được bản vá ngay, trừ Google Pixel 1 và 2.

Đội ngũ Project Zero của Google thường sẽ cho những nhà phát triển phần mềm thời hạn 90 ngày để vá lỗi trước khi công khai về chi tiết và cách khai thác của lỗ hổng, nhưng khi biết lỗ hổng đã bị khai thác trong thực tế, họ đã chủ động công bố chỉ sau khi được báo cáo 7 ngày.

Dù đây là lỗ hổng nghiêm trọng và có thể chiếm được quyền root trên các thiết bị Android, nhưng việc khai thác chỉ thực hiện được trong những điều kiện tấn công đặc biệt

Vì vậy, người dùng cần tránh tải và cài đặt những ứng dụng từ store của bên thứ ba và các ứng dụng không cần thiết, kể cả trên Google Play Store.

Theo The Hacker News​