Nhiều ứng dụng phổ biến bao gồm Grindr, Bumble, OkCupid, Cisco Teams, Moovit, Yango Pro, Microsoft Edge, Xrecorder và PowerDirector đang tồn tại lỗ hổng bảo mật có thể bị khai thác để đánh cắp dữ liệu nhạy cảm, như mật khẩu, chi tiết tài chính và e-mail của người dùng.
Lỗ hổng này được định danh có mức độ nghiêm trọng 8,8/10 theo thang điểm CVSS v3. tồn tại trong thư viện Play Core từ trước phiên bản 1.7.2. Đây là một thư viện Android phổ biến cho phép các nhà phát triển quản lý việc phân phối các môđun tính năng mới một cách hiệu quả, kích hoạt các bản cập nhật của ứng dụng trong thời gian chạy và tải xuống các gói ngôn ngữ bổ sung.
Mặc dù, Google đã phát hành bản cập nhật khắc phục lỗ hổng này vào tháng 3/2020. Nhưng nhiều nhà phát triển ứng dụng bên thứ ba vẫn chưa cập nhật phiên bản mới trong ứng dụng để giảm thiểu các mối đe dọa.
"Không giống như các lỗ hổng phía máy chủ - nơi lỗ hổng được khắc phục hoàn toàn sau khi phát hành bản vá, đối với các lỗ hổng phía máy khách, mỗi nhà phát triển cần tải phiên bản mới nhất của thư viện và thực thi trong ứng dụng, sau đó yêu cầu khách hàng cập nhật", theo CheckPoint Research.
Được báo cáo lần đầu tiên vào cuối tháng 8/2020 bởi các , lỗ hổng cho phép tin tặc chèn các tập tin thực thi độc hại vào bất kỳ ứng dụng nào sử dụng thư viện này. Từ đó, tin tặc có thể chiếm quyền truy cập vào tất cả các tài nguyên của ứng dụng bị xâm nhập.
Quy trình khai thác lỗ hổng CVE-2020-8913
CVE-2020-8913 bắt nguồn từ một lỗi Path Traversal trong thư viện, có thể bị khai thác để tải và thực thi mã độc hại. Tin tặc có thể sử dụng lỗ hổng này để chèn mã độc vào các ứng dụng ngân hàng để lấy cắp mật khẩu, đọc các tin nhắn OTP (dựa trên quyền đọc tin nhắn của ứng dụng ngân hàng).
Theo Nghiên cứu của Check Point, trong số 13% ứng dụng Google Play được phân tích vào tháng 9/2020, 8% trong số đó sử dụng Play Core Library tồn tại lỗ hổng CVE-2020-8913.
Danh sách các ứng dụng sử dụng phiên bản thư viện có chứa lỗ hổng
Hiện tại, các ứng dụng Viber, Meetup và Booking.com đã cập nhật ứng dụng của họ lên phiên bản thư viện được vá. Nếu người dùng đang sử dụng những ứng dụng được liệt kê ở trên, thì cần khẩn trương nâng cấp lên phiên bản mới nhất. Bên cạnh đó, người dùng cũng tránh tải các ứng dụng từ các nguồn không uy tín trên mạng Internet.
Đăng Thứ
08:00 | 22/06/2020
08:00 | 11/08/2020
10:00 | 11/09/2019
15:00 | 12/11/2024
Theo các nhà nghiên cứu bảo mật, một trong những cuộc tấn công chuỗi cung ứng kỹ thuật số lớn nhất trong năm 2024 đã được thực hiện bởi một công ty ít tên tuổi, chuyển hướng một lượng lớn người dùng internet đến một mạng lưới các trang web cờ bạc nhái.
16:00 | 27/09/2024
Một chiến dịch quốc tế phối hợp giữa các cơ quan thực thi pháp luật đã thành công trong việc triệt phá một mạng lưới tội phạm tinh vi chuyên mở khóa điện thoại di động bị mất hoặc đánh cắp. Mạng lưới này đã sử dụng nền tảng lừa đảo tự động iServer để đánh cắp thông tin đăng nhập của hàng trăm nghìn nạn nhân trên toàn thế giới.
07:00 | 10/09/2024
Trong bối cảnh chuyển đổi số và hội nhập quốc tế ngày càng sâu rộng, Việt Nam đang trở thành mục tiêu hấp dẫn cho các cuộc tấn công chuỗi cung ứng tinh vi. Các doanh nghiệp Việt từ các tổ chức nhỏ đến các tập đoàn lớn đều phải đối mặt với nguy cơ bị tấn công qua những lỗ hổng bảo mật trong hệ thống của đối tác hay nhà cung cấp.
14:00 | 05/09/2024
Công ty an ninh mạng Lumen Technologies (Mỹ) cho biết, một nhóm tin tặc Trung Quốc đã khai thác một lỗ hổng phần mềm để xâm nhập vào một số công ty Internet tại Hoa Kỳ và nước ngoài.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Trong thời đại công nghệ số, công nghệ trở thành một phần không thể thiếu trong ngành Y tế, các bệnh viện và cơ sở y tế toàn cầu ngày càng trở thành mục tiêu của những cuộc tấn công mạng phức tạp và tinh vi.
09:00 | 14/11/2024
