Ứng dụng Samsung Find my mobile chứa lỗ hổng nguy hiểm có thể khai thác từ xa

Một lỗ hổng Zero-Day mới được phát hiện trong ứng dụng Find my mobile của Samsung. Lỗ hổng sẽ khóa thiết bị của người dùng từ xa và vẫn chưa thể xác nhận được nguồn gửi mã khóa dữ liệu.

Find my mobile là một dịch vụ web di động của Samsung, cung cấp tính năng xác định vị trí điện thoại bị mất cho người dùng. Khi người dùng sử dụng dịch vụ này, lỗ hổng trong đó sẽ điều khiển một thiết bị từ xa để khóa điện thoại di động và không ai có thể truy cập vào điện thoại đó được.

Lỗ hổng này là một lỗ hổng CSRF (Cross-Site Request Forgery) có thể cho phép kẻ tấn công khóa hoặc mở khóa điện thoại từ xa, thậm chí là làm cho điện thoại đổ chuông.

Cross-Site Request Forgery (CSRF hay XSRF) là một cuộc tấn công mà lừa nạn nhân truy cập vào một trang có chứa một HTML đặc biệt để khai thác trang. Về cơ bản, tin tặc sẽ sử dụng tấn công CSRF để lừa nạn nhân nhấp chuột vào một liên kết URL có chứa các yêu cầu độc hại hoặc trái phép. Các liên kết độc hại có đặc quyền giống như người sử dụng, thực hiện những thao tác có hại như thay đổi địa chỉ e-mail, địa chỉ nhà, mật khẩu của nạn nhân hoặc mua một cái gì đó. Tấn công CSRF thường nhắm vào các chức năng gây ra sự thay đổi trạng thái trên máy chủ; cũng có thể được sử dụng để truy cập vào dữ liệu nhạy cảm của nạn nhân.

Bạn có thể đọc thêm về CSRF trên SecurityDaily tại đây.

Cuộc tấn công khai thác để khóa thiết bị của nạn nhân từ xa là rất quan trọng, bởi những kẻ tấn công có thể khóa điện thoại của nạn nhân với một mã khóa riêng, buộc nạn nhân phải phục hồi mã khóa bằng tài khoản Google của mình.

Lỗ hổng này được xác định có tên là CVE-2014-8346 và được đánh giá ở mức độ rất nghiêm trọng. Cho đến nay, nguồn và địa điểm của cuộc tấn công từ xa này vẫn chưa được xác định cụ thể, gây mối đe dọa cho người dùng.

Với bạn quan tâm về lỗ hổng này tác giả đã tạo một bài đăng trên diễn đàn Hỏi Đáp IT.

Theo THN