Lỗ hổng Adobe Acrobat trên Chrome đe dọa dữ liệu WhatsApp của 314 triệu người dùng

[WhiteHat Team]

Một chuỗi lỗ hổng bảo mật vừa được các nhà nghiên cứu công bố, đặt tên là HermeticReader, ảnh hưởng trực tiếp đến extension Adobe Acrobat trên Chrome, đây là một trong những tiện ích mở rộng có lượng người dùng khổng lồ, hơn 314 triệu lượt cài đặt.
​

Lỗ hổng được định danh CVE-2026-48294, điểm CVSS 7,4, thuộc dạng UXSS (Universal Cross-Site Scripting) cho phép đọc dữ liệu xuyên nguồn gốc. Mọi phiên bản extension từ 26.5.2.2 trở về trước đều bị ảnh hưởng.

Về bản chất kỹ thuật, đây là kiểu tấn công khai thác cơ chế same-origin policy của trình duyệt vốn được thiết kế để ngăn một trang web đọc dữ liệu của trang web khác. Kẻ tấn công chỉ cần dụ nạn nhân truy cập một trang được dàn dựng giống kết quả tìm kiếm hoặc email marketing thông thường. Ngay khi trang này được mở, nó sẽ nhúng một iframe lấy tài nguyên từ chính extension, kích hoạt một engine nội bộ có tên Hermes (vốn dùng để tích hợp với WhatsApp, chỉ hoạt động khi cờ tính năng "floodgate-add" được bật). Sau đó trang tấn công tự mở WhatsApp Web trong một tab nền, lấy ID số của tab đó, rồi ra lệnh cho Hermes engine chèn một form POST ẩn vào DOM của WhatsApp Web.

Điểm đáng chú ý về mặt chuyên môn nằm ở cách khai thác này là kẻ tấn công không cần cài mã độc, không cần phishing để lấy mật khẩu, cũng không cần đánh cắp session cookie. Toàn bộ cuộc tấn công dựa vào hai "lỗ hổng thiết kế nhỏ" cộng hưởng với nhau (một phần tử option không có thuộc tính value sẽ tự động submit toàn bộ nội dung text render bên trong nó và WhatsApp Web lại không thiết lập chỉ thị form-action trong Content Security Policy). Vì thiếu chỉ thị này, một form submission ở cấp cao nhất được phép điều hướng tới bất kỳ origin nào. Kết quả là chính WhatsApp Web "tự nguyện" POST toàn bộ DOM đã render, gồm danh sách chat, tên liên hệ, preview tin nhắn, tên hồ sơ và nội dung cuộc trò chuyện đang mở, sang máy chủ của kẻ tấn công, rồi hiển thị lại bất cứ thứ gì được trả về.

Đây có thể coi là ví dụ điển hình cho việc rủi ro không chỉ đến từ các lớp tấn công "hào nhoáng" như RCE hay zero-click, mà từ phần "hạ tầng ống nước" (cách các đặc tả HTML cũ, các API extension, và policy bảo mật của từng ứng dụng web tương tác với nhau theo cách không ai lường trước). Từng thành phần riêng lẻ (form submission, thiếu form-action, cơ chế nhắn tin nội bộ của extension) đều hợp lệ theo spec, nhưng khi ghép lại chúng sẽ tạo ra một kênh rò rỉ dữ liệu hoàn chỉnh. Với một extension có đế cài đặt lớn như Adobe Acrobat, mức độ ảnh hưởng tiềm tàng là rất rộng, dù mức độ khai thác thực tế còn phụ thuộc vào việc dụ được nạn nhân click vào link.

Người dùng phổ thông nên cập nhật extension Adobe Acrobat lên bản vá mới nhất ngay khi có thể, đồng thời giữ thói quen cảnh giác với các đường link lạ dù trông giống kết quả tìm kiếm hay email quen thuộc (vì bước khởi phát của cuộc tấn công chỉ cần một cú click). Với người dùng cẩn trọng hơn, nên rà soát định kỳ danh sách extension đang cài trên trình duyệt, gỡ bỏ những tiện ích không thật sự cần thiết, vì mỗi extension đang chạy đều là một bề mặt tấn công tiềm ẩn không chỉ với dữ liệu của chính nó mà cả với các dịch vụ web khác đang mở cùng lúc.

Còn cộng đồng phát triển phần mềm và các đội ngũ bảo mật ứng dụng thì sự việc này sẽ là lời nhắc nhở cho việc thiết lập đầy đủ các chỉ thị Content Security Policy không phải là chi tiết thừa mà là một lớp phòng thủ thực sự cần thiết. Đồng thời, các nhà phát triển extension trình duyệt cần rà soát kỹ các cơ chế giao tiếp nội bộ (message passing, iframe, feature flag) để tránh việc một tính năng tưởng chừng vô hại lại trở thành cửa ngõ cho tấn công cross-origin.​