Bản vá bảo mật ‘Stagefright’ vẫn khiến Android dễ bị xâm nhập

Bạn muốn hack điện thoại thông minh Android của ai đó bằng cách gửi chỉ một tin nhắn MMS?

Hoàn toàn có thể, bởi vì bản vá của Google cho lỗ hổng Stagefright trong hàng trăm triệu thiết bị Android CÓ LỖI.

Tuần trước, Google đã phát hành một bản vá chính thức cho lỗ hổng Stagefright ảnh hưởng đến 95% các thiết bị Android đang chạy từ phiên bản 2.2 tới phiên bản 5.1 của hệ điều hành, ước tính có khoảng 950 triệu thiết bị Android được sử dụng trên toàn thế giới.

Nhưng, bản vá này thiếu sót khiến tin tặc vẫn có thể khai thác lỗ hổng Stagefright (CVE-2015-3824).

“Bản vá [ban đầu] là bốn dòng mã và đã (có lẽ) được các kỹ sư của Google xem xét trước khi đưa ra”, các nhà nghiên cứu tại Exodus Intelligence đã viết trong một bài đăng blog công bố hôm thứ Năm. “Công chúng nói chung tin rằng bản vá hiện nay bảo vệ họ, trên thực tế, không phải vậy”.

Google phát hành bản vá có lỗi

Bản vá không sửa chữa lỗ hổng, cho phép video MP4 bẫy cung cấp tham biến với độ dài 64-bit làm tràn bộ đệm và phá vỡ điện thoại thông minh khi cố gắng mở tin nhắn đa phương tiện.

Công ty thông báo Google về vấn đề này vào ngày 7/8, hai ngày sau khi trình bày Stagefright của họ tại hội thảo Black Hat, nhưng đã không nhận được bất kỳ phản hồi nào từ công ty liên quan đến phát hành sửa chữa cập nhật của họ.

Vì vậy, công ty phát hành mã hiển thị cách phá vỡ lỗ hổng Stagefright khai thác điện thoại thông minh vì gã khổng lồ tìm kiếm vẫn đang “phát hành bản vá lỗi cho các thiết bị Android thông qua cập nhật over-the-air (phương thức cho phép các hãng sản xuất cấu hình tiến hành việc cập nhật phiên bản hệ điều hành mới)”.

Theo các nhà nghiên cứu Exodus, bản vá thiếu sót đã được chỉ định nhận dạng lỗ hổng CVE-2015-3864, nhưng tại thời điểm này rất khó để nói sẽ có một sửa chữa tức thời cho lỗ hổng.

“Google sử dụng lượng nhân viên an ninh rất lớn, vì vậy nhiều thành viên dành thời gian để kiểm toán các phần mềm khác của nhà cung cấp”, nhưng nếu hãng không thể “chứng minh khả năng khắc phục thành công một lỗ hổng ảnh hưởng đến khách hàng của mình thì chúng ta hy vọng gì vào phần còn lại?”, các nhà nghiên cứu Exodus đã viết.

Khi lấy ý kiến, một phát ngôn viên của Google đã xác nhận những phát hiện và cho biết công ty đã phân phối bản vá thứ hai cho các đối tác OEM của mình, tuy nhiên, riêng Nexus 4/5/6/7/9/10 và Nexus Player sẽ nhận được bản vá nằm trong phần cập nhật bản vá tháng 9.

Vì vậy, để thoát khỏi vấn đề này, bạn cần để mắt tới bản vá mới để sửa chữa bản vá thiếu sót cũ.

THN