Stagefright, lỗ hổng bảo mật tệ nhất lịch sử Android

Các nhà nghiên cứu bảo mật của hãng Zimperium Mobile Security vừa phát hiện ra một lỗ hổng nghiêm trọng trên Android. Có khoảng 950 triệu thiết bị Android bị dính lỗ hổng này.

Tin tặc có thể lợi dụng lỗ hổng được đặt tên là Stagefright này để chiếm quyền kiểm soát thiết bị bằng một tin nhắn MMS. Theo các nhà nghiên cứu, các đoạn mã không an toàn trong thư viện đa phương tiện Stagefright của Android có trên Android 2.2 Froyo là nguyên nhân gây ra lỗ hổng này.

Do Stagefright được sử dụng trên rất nhiều phiên bản Android nên các nhà nghiên cứu dự đoán có khoảng 95% thiết bị Android hiện có thể bị ảnh hưởng bởi lỗ hổng này. Những thiết bị chạy các bản Android trước Jelly Bean, chiếm khoảng 15%, dễ bị tổn thương nhất. Zimperium Mobile Security cho rằng Stagefright là "lỗ hổng Android tồi tệ nhất từ trước tới nay".

Theo Zimperium Mobile Security, tin tặc có thể chiếm quyền kiểm soát thiết bị từ xa bằng cách gửi tới thiết bị một tin nhắn MMS chứa mã độc giả mạo một video. Trên các thiết bị chạy phiên bản Android cũ hơn Jelly Bean, tin tặc thậm chí có thể tiến hành quá trình chiếm quyền kiểm soát thiết bị mà không cần người dùng cần mở tin nhắn MMS để kích hoạt. Những tin tặc có kỹ thuật cao còn có thể loại bỏ tin nhắn MMS này sau khi gây thiệt hại cho nạn nhân.

Nói cách khác, sau một đêm, bạn tỉnh dậy và tất cả những gì bạn nhận được là một thông báo tin nhắn MMS nhưng nó đã bị xóa. Bạn không hề biết rằng kẻ tấn công đã truy cập vào camera, micro và các dữ liệu nhạy cảm khác trên thiết bị của bạn. Có một tin vui là nhờ Android sandbox, tin tặc không thể dùng lỗ hổng này để truy cập toàn bộ dữ liệu của bạn.

Zimperium hứa sẽ công bố mọi chi tiết về Stagefright tại hội nghị bảo mật Black Hat USD diễn ra vào ngày 5/8 và hội nghị DEF CON 23 diễn ra vào ngày 7/8. Các nhà nghiên cứu cho biết cho tới nay vẫn chưa xảy ra bất cứ vụ tấn công nào liên quan tới Stagefright.

Theo Zimperium, ngay khi được thông báo về sự tồn tại của Stagefright, Google đã tung ra một bản vá lỗi. Tuy nhiên, người khổng lồ Internet bất lực trong việc triển khai bản vá lỗi tới các thiết bị đang bị đe dọa. Google chỉ có thể thể triển khai bản vá lỗi trực tiếp tới những thiết bị Google Play Edition. Các nhà sản xuât và nhà mạng chịu trách nhiệm tung ra bản vá lỗi cho thiết bị của họ và họ thường rất chậm trễ ngay cả với những bản vá cho những lỗ hổng nghiêm trọng.

ĐHK

Theo Phone Arena