Lỗ hổng Find My Mobile của Samsung bị lợi dụng để khóa máy từ xa

[WhiteHat News #ID:1368]

Viện Tiêu chuẩn và công nghệ quốc gia Hoa Kỳ (NIST) vừa lên tiếng cảnh báo người dùng về lỗ hổng zero-day mới được phát hiện trên dịch vụ Find My Mobile của Samsung, khiến thiết bị không xác thực đúng người gửi mã khóa thiết bị và có thể bị tin tặc lợi dụng khóa máy từ xa.

Find My Mobile là dịch vụ nền web di động trên các thiết bị của Samsung, cung cấp các tính năng như định vị thiết bị thất lạc, đổ chuông và khóa máy từ xa.

Lỗ hổng được phát hiện đầu tiên bởi nhà nghiên cứu an ninh mạng người Ai Cập Mohamed Abdelbaset Elnoby, thuộc loại Cross-Site Request Forgery (CSRF), có thể cho phép kẻ tấn công khóa/ mở khóa thiết bị từ xa và ra lệnh cho thiết bị đổ chuông.

Để khai thác lỗ hổng CSRF, kẻ tấn công sẽ lừa người dùng click vào một đường link có chứa mã độc hoặc request trái phép. Đường link có quyền ưu tiên tương tự như người dùng, có thể thực hiện các tác vụ với quyền của nạn nhân như đổi địa chỉ email, địa chỉ nhà, mật khẩu tài khoản hay thậm chí là giao dịch mua sắm bằng tài khoản của nạn nhân.

Theo nhà nghiên cứu Mohamed Abdelbaset Elnoby, lỗ hổng này là rất nghiêm trọng nếu bị khai thác, bởi kẻ tấn công có thể khóa thiết bị bằng mã khóa tùy ý, buộc nạn nhân phải khôi phục thiết bị bằng tài khoản Google của mình.

Trung tâm ứng cứu khẩn cấp máy tính Hoa Kỳ (US-CERT) và NIST đánh giá mức độ nghiêm trọng của lỗ hổng trên Find My Mobile thuộc nhóm cao, điểm khả năng khai thác (exploitability score) là 10.0.

"Chức năng kiểm soát từ xa trên các thiết bị di động của Samsung không hề xác thực nguồn gốc dữ liệu mã khóa nhận được qua mạng, khiến tin tặc có thể vô hiệu hóa thiết bị từ xa một cách dễ dàng bằng cách kích hoạt luồng dữ liệu bất thường qua mạng đến Find My Mobile", cảnh báo của NIST nhấn mạnh.

Video mô tả cách thức khai thác lỗ hổng trên Find My Mobile để khóa máy từ xa của nhà nghiên cứu Mohamed Abdelbaset Elnoby:

[YOUTUBE]Q3adkpOEjyI[/YOUTUBE]​

Nguồn: The Hacker News​