Lỗi RCE nghiêm trọng trong ứng dụng bàn phím từ xa của Android

[Ginny Hà]

Các nhà nghiên cứu vừa công bố các lỗ hổng nghiêm trọng trên 3 ứng dụng Android để sử dụng thiết bị bàn phím từ xa cho máy tính. Các lỗ hổng có thể làm lộ các lần nhấn phím và cho phép thực thi mã từ xa.

Các ứng dụng này là PC Keyboard, Lazy Mouse và Telepad. Thống kê các phiên bản bị ảnh hưởng (miễn phí và trả phí) và trên Google Play cho thấy, chúng có tổng số lượt cài đặt là hơn hai triệu.

PC Keyboard và Lazy Mouse trên Google Play​

Các nhà nghiên cứu của Synopsys đã phát hiện ra vấn đề và thông báo cho nhà phát triển ứng dụng vào tháng 8/2022. Tuy nhiên, sau lần liên hệ lại vào tháng 10 vừa qua, họ vẫn không nhận được phản hồi, do đó đã quyết định công bố lỗ hổng.

“Nghiên cứu chỉ ra các cơ chế xác thực yếu hoặc bị thiếu và các lỗ hổng giao tiếp không an toàn trong 3 ứng dụng”, theo cảnh báo an ninh.

“Mặc dù các lỗ hổng đều liên quan đến việc triển khai xác thực, ủy quyền và truyền tải, nhưng cơ chế lỗi của mỗi ứng dụng là khác nhau”.

Các lỗi ảnh hưởng đến từng ứng dụng như sau:

• CVE-2022-45477 (xếp hạng mức độ nghiêm trọng 9,8) – Lỗ hổng trong Telepad, cho phép người dùng từ xa không được xác thực gửi hướng dẫn đến máy chủ để thực thi mã tùy ý mà không yêu cầu cấp quyền hoặc xác thực.
• CVE-2022-45478 (xếp hạng mức độ nghiêm trọng 5.1) – Lỗ hổng Telepad cho phép kẻ tấn công thực hiện tấn công man-in-the-middle (MitM) và đọc tất cả các lần nhấn phím dạng cleartext.
• CVE-2022-45479 (xếp hạng mức độ nghiêm trọng 9,8) – trên PC Keyboard cho phép người dùng từ xa chưa được xác thực gửi hướng dẫn đến máy chủ để thực thi mã tùy ý mà không yêu cầu cấp quyền hoặc xác thực.
• CVE-2022-45480 (xếp hạng mức độ nghiêm trọng 5.1) – Lỗ hổng bàn phím PC cho phép kẻ tấn công thực hiện tấn công MitM và đọc tất cả các lần nhấn phím dạng cleartext.
• CVE-2022-45481 (xếp hạng mức độ nghiêm trọng 9,8) – Thiếu yêu cầu mật khẩu trong cấu hình mặc định của Lazy Mouse, cho phép người dùng từ xa không được xác thực thực thi mã tùy ý mà không yêu cầu cấp quyền hoặc xác thực.
• CVE-2022-45482 (xếp hạng mức độ nghiêm trọng 9,8) – Lỗ hổng máy chủ Lazy Mouse thực thi các yêu cầu mật khẩu yếu trong khi không triển khai giới hạn tốc độ, cho phép hacker brute force mã PIN và thực thi các lệnh tùy ý.
• CVE-2022-45483 (xếp hạng mức độ nghiêm trọng 5.1) – Lỗ hổng Lazy Mouse cho phép hacker tấn công MitM và đọc tất cả các lần nhấn phím dạng cleartext.

Ba ứng dụng này không còn được các nhà phát triển duy trì hoặc hỗ trợ, hoặc có thể nói chúng thuộc dạng “phần mềm bị bỏ rơi”. Việc tiếp tục sử dụng các ứng dụng đi kèm với rủi ro đáng kể về việc lộ thông tin nhạy cảm. Khai thác thành công cũng có thể cho phép hacker từ xa chạy mã tùy ý trên thiết bị.

Telepad không còn trên Google Play nhưng có thể tải về từ website chính thống​

Nếu bạn đang tìm kiếm một ứng dụng bàn phím từ xa, thì có một số dự án được duy trì tích cực trên Google Play, nhiều trong số đó có được người dùng đánh giá tích cực.

Trước khi cài đặt một ứng dụng thay thế, hãy nhớ kiểm tra đánh giá của người dùng, đọc kỹ chính sách quyền riêng tư của dự án và kiểm tra ngày cập nhật lần cuối. Nếu có thể, người dùng nên cố gắng xác nhận rằng dữ liệu đang truyền đã được mã hóa.

Nguồn: Bleeping Computer​