WhiteHat News #ID:2018
WhiteHat Support
-
20/03/2017
-
129
-
443 bài viết
Lỗ hổng đã được vá vẫn tồn tại trong nhiều ứng dụng Android phổ biến
Những lỗ hổng nghiêm trọng đã được xử lý cách đây một năm vẫn tồn tại trong nhiều ứng dụng Android phổ biến do nhà phát triển không áp dụng bản vá cho các thư viện của bên thứ ba.
Các nhà nghiên cứu của hãng Check Point chọn lọc được ba lỗ hổng thực thi mã tùy ý nghiêm trọng đã có bản vá vào các năm 2014, 2015 và 2016 được sử dụng rộng rãi trong các thư viện của bên thứ ba.
Hãng này giải thích rằng các ứng dụng trên mobile thường phụ thuộc vào các thư viện gốc, hoặc là được lấy từ các dự án mã nguồn mở hoặc là sử dụng các đoạn code từ phần mềm mã nguồn mở. Nếu tìm thấy lỗ hổng trong các dự án mã nguồn mở, nhà phát triển có thể đưa ra một bản vá lỗi nhưng không đảm bảo liệu việc khắc phục này cũng sẽ được áp dụng cho các phần mềm khác phụ thuộc vào code của họ.
Tháng 06/2019, hãng Check Point đã thực hiện quét các ứng dụng Android hiện có trên Google Play để biết liệu chúng có sử dụng các thư viện nào dính lỗ hổng hay không.
Một trong những lỗ hổng được tìm thấy là CVE-2014-8962, một lỗi tràn bộ đệm trong định dạng file audio libFLAC (Free Lossless Audio Codec) có thể bị khai thác để thực thi mã tùy ý hoặc tấn công từ chối dịch vụ bằng cách thuyết phục người dùng mục tiêu mở một file audio FLAC tự tạo cùng với ứng dụng dùng phiên bản libFLAC có lỗ hổng.
Qua phân tích, Check Point tiết lộ rằng lỗ hổng này vẫn tồn tại trong các ứng dụng phát nhạc LiveXLive, điều khiển giọng nói Moto Voice trên các dòng điện thoại Motorola và các ứng dụng Yahoo khác. Tất cả những ứng dụng nàyđã được hàng triệu thậm chí là hàng chục triệu lượt tải về từ Google Play.
Lỗ hổng thứ hai là CVE-2015-8271 ảnh hưởng đến bộ công cụ RTMPDump trong luồng phát RTMP và có thể bị khai thác để thực thi mã tùy ý.
Lỗ hỗng này nằm trong thư viện được sử dụng cho các ứng dụng Facebook, Facebook Messenger, Lenovo SHAREit, Mobile Legends: Bang Bang, Smule, JOOX Music và các ứng dụng WeChat. Ba ứng dụng đầu tiên có trên 1 tỷ lượt tải về trên Google Play, trong khi số còn lại là trên 100 triệu.
Lỗ hổng cuối cùng được các nhà nghiên cứu Check Point tìm thấy là CVE-2016-3062, ảnh hưởng đến thư viện Libav, cho phép thực thi mã từ xa và tấn công DoS thông qua các file media tự tạo. Thư viện dính lỗ hổng này được tìm thấy trong các ứng dụng AliExpress, Video MP3 Converter, Lazada, VivaVideo, Smule, JOOX Music, Retrica và TuneIn đều có trên 100 triệu lượt tải về.
Ngoài ra còn có hàng trăm ứng dụng trên Android phổ biến đã được tìm thấy bị ảnh hưởng bởi ba lỗ hổng này.
Nhà nghiên cứu Slava Makkaveev cho biết: “Dù chỉ với 3 lỗi, tất cả đều đã được khắc phục cách đây 2 năm cũng đủ khiến hàng trăm ứng dụng có nguy cơ dính lỗ hổng thực thi mã từ xa. Hãy thử tưởng tượng xem có bao nhiêu ứng dụng phổ biến là mục tiêu của kẻ tấn công nếu chúng quét Google Play và tìm ra 100 lỗ hổng đã được nêu?”
Hãng này giải thích rằng các ứng dụng trên mobile thường phụ thuộc vào các thư viện gốc, hoặc là được lấy từ các dự án mã nguồn mở hoặc là sử dụng các đoạn code từ phần mềm mã nguồn mở. Nếu tìm thấy lỗ hổng trong các dự án mã nguồn mở, nhà phát triển có thể đưa ra một bản vá lỗi nhưng không đảm bảo liệu việc khắc phục này cũng sẽ được áp dụng cho các phần mềm khác phụ thuộc vào code của họ.
Tháng 06/2019, hãng Check Point đã thực hiện quét các ứng dụng Android hiện có trên Google Play để biết liệu chúng có sử dụng các thư viện nào dính lỗ hổng hay không.
Một trong những lỗ hổng được tìm thấy là CVE-2014-8962, một lỗi tràn bộ đệm trong định dạng file audio libFLAC (Free Lossless Audio Codec) có thể bị khai thác để thực thi mã tùy ý hoặc tấn công từ chối dịch vụ bằng cách thuyết phục người dùng mục tiêu mở một file audio FLAC tự tạo cùng với ứng dụng dùng phiên bản libFLAC có lỗ hổng.
Qua phân tích, Check Point tiết lộ rằng lỗ hổng này vẫn tồn tại trong các ứng dụng phát nhạc LiveXLive, điều khiển giọng nói Moto Voice trên các dòng điện thoại Motorola và các ứng dụng Yahoo khác. Tất cả những ứng dụng nàyđã được hàng triệu thậm chí là hàng chục triệu lượt tải về từ Google Play.
Lỗ hổng thứ hai là CVE-2015-8271 ảnh hưởng đến bộ công cụ RTMPDump trong luồng phát RTMP và có thể bị khai thác để thực thi mã tùy ý.
Lỗ hỗng này nằm trong thư viện được sử dụng cho các ứng dụng Facebook, Facebook Messenger, Lenovo SHAREit, Mobile Legends: Bang Bang, Smule, JOOX Music và các ứng dụng WeChat. Ba ứng dụng đầu tiên có trên 1 tỷ lượt tải về trên Google Play, trong khi số còn lại là trên 100 triệu.
Lỗ hổng cuối cùng được các nhà nghiên cứu Check Point tìm thấy là CVE-2016-3062, ảnh hưởng đến thư viện Libav, cho phép thực thi mã từ xa và tấn công DoS thông qua các file media tự tạo. Thư viện dính lỗ hổng này được tìm thấy trong các ứng dụng AliExpress, Video MP3 Converter, Lazada, VivaVideo, Smule, JOOX Music, Retrica và TuneIn đều có trên 100 triệu lượt tải về.
Ngoài ra còn có hàng trăm ứng dụng trên Android phổ biến đã được tìm thấy bị ảnh hưởng bởi ba lỗ hổng này.
Nhà nghiên cứu Slava Makkaveev cho biết: “Dù chỉ với 3 lỗi, tất cả đều đã được khắc phục cách đây 2 năm cũng đủ khiến hàng trăm ứng dụng có nguy cơ dính lỗ hổng thực thi mã từ xa. Hãy thử tưởng tượng xem có bao nhiêu ứng dụng phổ biến là mục tiêu của kẻ tấn công nếu chúng quét Google Play và tìm ra 100 lỗ hổng đã được nêu?”
Theo SecurityWeek