Phát hiện bốn lỗ hổng “nghiêm trọng” trong các ứng dụng mặc định trên hàng triệu thiết bị Android

[tathoa0607]

Bốn lỗ hổng “nghiêm trọng” đã được phát hiện trên các ứng dụng Hệ thống Android được cài đặt sẵn với hàng triệu lượt tải xuống.

Hiện tại các nhà phát triển của MCE Systems của Israel đang trong quá trình khắc phục, những lỗ hổng này có khả năng cho phép kẻ tấn công thực hiện các cuộc tấn RCE, local attacks hoặc lấy thông tin nhạy cảm bằng cách tận dụng các đặc quyền trên hệ thống của họ.

​

Theo nhóm nghiên cứu Microsoft 365 Defender các điểm yếu này có thể thực thi dựa vào command-injection để leo thang đặc quyền với điểm CVSS từ 7.0 đến 8.9: CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 và CVE-2021-42601 và Microsoft đã không tiết lộ danh sách đầy đủ các ứng dụng dễ bị khai thác.

Tận dụng tính năng cấp quyền truy cập rộng, bao gồm cả quyền truy cập âm thanh, máy ảnh, nguồn điện, vị trí, dữ liệu cảm biến và bộ nhớ, trên các ứng dụng để thực hiện các chức năng của nó. Cùng với các vấn đề được xác định trong dịch vụ, kẻ tấn công có thể để lại backdoor hoặc chiếm quyền kiểm soát thiết bị.

Một số ứng dụng bị ảnh hưởng là của các nhà cung cấp dịch vụ di động quốc tế lớn như Telus, AT&T, Rogers, Freedom Mobile và Bell Canada:

• Mobile Klinik Device Checkup (com.telus.checkup)
• Device Help (com.att.dh)
• MyRogers (com.fivemobile.myaccount)
• Freedom Device Care (com.freedom.mlp.uat)
• Device Content Transfer (com.ca.bell.contenttransfer)

Ngoài ra, Microsoft cũng khuyến cáo người dùng nên chú ý đến gói ứng dụng "com.mce.mceiotraceagent" - một gói ứng dụng mở rộng có thể đã được các cửa hàng sửa chữa điện thoại di động cài đặt , nếu tìm thấy hãy xóa nó khỏi điện thoại.
Các ứng dụng nhạy cảm, mặc dù được cài đặt sẵn bởi các nhà cung cấp điện thoại, hoặc có sẵn trên Cửa hàng Google Play và được cho là đã vượt qua kiểm tra an toàn tự động của Google Play mà không gây ra bất kỳ dấu hiệu vi phạm nào vì quy trình không được thiết kế để tìm ra những vấn đề này.

Theo: Thehackernews​