Lỗi nghiêm trọng trên Instagram khiến điện thoại bị truy cập từ xa

[WhiteHat News #ID:2018]

Các nhà nghiên cứu của Check Point vừa tiết lộ chi tiết về lỗ hổng nghiêm trọng trong ứng dụng Instagram trên Android, có thể cho phép kẻ tấn công từ xa chiếm quyền kiểm soát hoàn toàn thiết bị mục tiêu bằng cách gửi cho nạn nhân một hình ảnh tự tạo.

Đáng lo ngại hơn, lỗ hổng không chỉ cho phép kẻ tấn công sử dụng tài khoản Instagram của nạn nhân để đọc tin nhắn riêng tư, thậm chí xóa hoặc đăng tải hình ảnh, mà còn thực thi mã tùy ý trên thiết bị.

Theo khuyến cáo của Facebook, lỗi bảo mật tràn bộ nhớ heap (CVE-2020-1895, điểm CVSS 7.8) ảnh hưởng đến tất cả các phiên bản Instagram 128.0.0.26.128 trở về trước, được phát hành trước ngày 10/02/2020.

Các nhà nghiên cứu cho biết: “Lỗ hổng này biến thiết bị thành một công cụ gián điệp theo dõi người dùng mục tiêu mà họ không hề biết, cũng như cho phép thực hiện hành vi độc hại trên tài khoản Instagram của nạn nhân”.

Sau khi được báo cáo về lỗ hổng này, mạng xã hội Facebook đã xử lý vấn đề qua bản vá cập nhật cách đây 6 tháng. Việc tiết lộ công khai đã bị trì hoãn suốt thời gian này để cho phép người dùng Instagram cập nhật ứng dụng, qua đó giảm thiểu nguy cơ khi lỗ hổng được công bố.

Dù Facebook xác nhận không có dấu hiệu lỗ hổng bị khai thác trên diện rộng, nhưng vẫn khuyến cáo người dùng cần có thói quen cập nhật ứng dụng thường xuyên và lưu ý khi cấp quyền cho ứng dụng.

Lỗ hổng tràn bộ nhớ heap

Lỗ hổng này cho phép thực thi mã từ xa. Nếu Instagram được cấp quyền để truy cập camera, danh bạ, GPS, thư viện ảnh và microphone của người dùng thì kẻ xấu có thể thực hiện các hành động độc hại trên thiết bị bị xâm phạm.

Lỗ hổng xảy ra do Instagram tích hợp MozJPEG, một thư viện mã hóa mã nguồn mở nhằm mục đích giảm băng thông và cung cấp khả năng nén tốt hơn cho hình ảnh được tải lên dẫn đến tràn số nguyên khi hàm dính lỗ hổng ("read_jpg_copy_loop") cố gắng phân tích cú pháp hình ảnh độc hại có kích thước đặc biệt.

Nếu làm được điều này, kẻ xấu có thể giành quyền kiểm soát bộ nhớ được cấp cho hình ảnh, độ dài dữ liệu bị ghi đè và cuối cùng là nội dung của vùng nhớ bị tràn, sau đó cho phép kẻ tấn công gây ra lỗi ở vị trí nhất định trong bộ nhớ heap và chuyển hướng thực thi mã.

Tất cả những gì kẻ xấu cần làm là gửi một file ảnh JPEG bị lỗi đến nạn nhân qua email hoặc WhatsApp. Khi người nhận lưu ảnh vào thiết bị và mở Instagram, quá trình khai thác sẽ diễn ra tự động, cấp cho tin tặc toàn quyền kiểm soát ứng dụng.

Tệ hơn, việc khai thác có thể khiến Instagram bị crash và không thể truy cập trừ khi xóa và cài đặt lại trên thiết bị.

Lỗ hổng cho thấy việc kết hợp thư viện của bên thứ 3 vào ứng dụng và dịch dụ có thể làm suy yếu bảo mật nếu việc tích hợp không được thực hiện đúng cách.

Các nhà nghiên cứu đã đưa ra khuyến cáo để sử dụng smartphone an toàn:

• Cập nhật bản vá: đảm bảo người dùng thường xuyên cập nhật ứng dụng và hệ điều hành.
• Theo dõi việc cấp quyền cho ứng dụng: thận trọng hơn khi ứng dụng yêu cầu cấp các quyền truy cập trên điện thoại.
• Suy nghĩ kỹ trước khi đồng ý, cần đặt câu hỏi: Có cần thiết phải cấp quyền cho ứng dụng không?

Theo The Hacker News​