Lỗ hổng cho phép truy cập tài khoản Amazon của người dùng e-book trên Kindle

[Ginny Hà]

Việc lựa chọn đọc sách giấy hay sách điện tử đã phân loại những người yêu sách thành 2 nhóm. Tuy nhiên, để quyết định mình thuộc nhóm nào, bạn nên cân nhắc một cách cẩn thận.

Một chuyên gia an ninh mạng đã phát hiện lỗ hổng trên trang Manage your Kindle của Amazon, cho phép tin tặc truy cập dữ liệu nhạy cảm của người dùng. Nguy cơ xảy ra khi người dùng upload một e-book độc hại vào tài khoản và thông qua hệ thống Amazon để lưu trữ trên thiết bị.

Plugin Send to Kindle trên hệ điều hành Windows và Mac có thể được sử dụng để gửi dữ liệu cá nhân đến Kindle, bao gồm cả e-book từ các nguồn khác ngoài Amazon. Những dữ liệu này sau đó được lưu trữ trong Kindle Library trên đám mây và có thể được tải về thiết bị có kết nối tại bất kỳ thời điểm nào. Các thiết bị ở đây có thể là máy đọc sách Kindle, điện thoại di động có Kindle app hoặc desktop app.

Kẻ xấu sẽ chèn thêm một đoạn script vào tiêu đề của e-book. Khi người dùng đưa e-book này vào thiết bị, tài khoản Amazon cùng với toàn bộ dữ liệu trên trang web của người dùng sẽ có nguy cơ lộ lọt. Ngay khi e-book chứa mã độc được mở ra trên trang web, đoạn mã sẽ thực thi. Tin tặc sau đó có thể sử dụng cookies để chiếm tài khoản trên Amazon.

Chuyên gia nghiên cứu Benjamin Mussler cho biết lần đầu tiên phát hiện lỗ hổng là gần 1 năm trước và đã báo cho Amazon. Vấn đề đã được giải quyết vào thời điểm đó, nhưng dường như kẻ xấu đã tìm ra cách thức để xâm nhập vào trang Manage Your Kindle của Amazon.

“Trong lần đầu báo lỗi cho Amazon vào tháng 10/2013, đoạn mã Proof of Concept (PoC) của tôi có chứa code nhằm lấy cookies và gửi thông tin về. Thú vị là, Đội An ninh Thông tin của Amazon vẫn tiếp tục sử dụng PoC này trên hệ thống thử nghiệm nội bộ hàng tháng trời sau khi lỗ hổng đã được vá. Ngạc nhiên hơn nữa, Amazon đã đưa ra một phiên bản mới của ứng dụng web Manage your Kindle, vẫn còn tồn tại lỗ hổng này”, Mussler cho biết.

Chuyên gia Mussler cũng cho biết thêm, vấn đề không chỉ tồn tại trên hệ thống của Amazon, mà cả Calibre cũng bị ảnh hưởng năm ngoái, nhưng có vẻ hãng này khắc phục.

Nguồn: Softpedia​