Phát hiện lỗ hổng Zero-Day trong Unity Web Player

Chi tiết về lỗ hổng zero-day mới được tiết lộ trong plugin Unity Web Player có thể cho phép tin tặc sử dụng thông tin đăng nhập của nạn nhân hay lợi dụng kết nối của họ đến các dịch vụ trực tuyến.

Lỗ hổng đã được báo cáo gần 6 tháng trước bởi nhà nghiên cứu Phần Lan Jouko Pynnonen nhưng Unity không phản hồi. Hiện tại thì Unity đã biết về lỗ hổng và đang thực hiện bản vá cải thiện bảo mật. Unity Technologies phát triển Unity Web Player cùng với game engine phát triển game trên Windows, Mac OS X. Facebook cũng sử dụng Unity Web Player trong nhiều game và có một SDK tích hợp tính năng Facebook trong game. Unity Web Player đã được tải về 125 triệu lần.

Tin tặc khai thác lỗ hổng đầu tiên cần lừa nạn nhân vào trang chứa ứng dụng Unity độc hại hoặc lây nhiễm thông qua các phần mềm trên Facebook. Lỗ hổng cho phép ứng dụng Unity độc hại qua mặt chính sách cross-domain vốn được dùng để chặn ứng dụng truy cập vào URL và những tài nguyên khác bên ngoài trang web hoặc file hệ thống cục bộ. Khai thác lỗ hổng này trên Internet Explorer cho phép tin tặc đọc được file lưu trữ cục bộ.

Pynnonen minh họa sau khi ứng dụng được tải, nó sẽ truy cập một URL đặc biệt trong trang của tin tặc và sau đó trả về một chuyển hướng 301 đến Gmail. Trình duyệt với thông tin đăng nhập của người dùng có thể dùng để truy cập vào email của nạn nhân.

Mức độ tác động phụ thuộc vào trình duyệt và phiên bản Unity. Việc chạy các plugin trên web đang ngày càng bị giới hạn đặc biệt trên Chrome. Một vài trình duyệt chạy trực tiếp ứng dụng khi người dùng xem trang còn một vài sẽ hỏi người dùng cho phép chạy trong lần đầu tiên.

threatpost