Kaspersky cho biết: “Bằng cách thêm dữ liệu người dùng ngẫu nhiên vào cơ sở dữ liệu hoặc sử dụng mã QR giả, kẻ tấn công có thể dễ dàng vượt qua quá trình xác minh và có được quyền truy cập trái phép. Những kẻ tấn công cũng có thể đánh cắp và rò rỉ dữ liệu sinh trắc học, thao túng thiết bị từ xa và triển khai các backdoor”.
Trong 24 lỗ hổng bao gồm 6 lỗ hổng SQL injection, 7 lỗ hổng tràn bộ đệm, 5 lỗ hổng command injection, 4 lỗ hổng ghi tệp tùy ý và 2 lỗ hổng đọc tệp tùy ý. Dưới đây là mô tả ngắn gọn về một số lỗ hổng:
- CVE-2023-3938 (điểm CVSS: 4,6) - Khi hiển thị mã QR vào camera của thiết bị, SQL injection có thể xảy ra khi gửi một yêu cầu độc hại có chứa dấu ngoặc kép. Hàm dễ bị tấn công trong thư viện sử dụng dữ liệu từ mã QR dưới dạng chuỗi trong truy vấn SQL để lấy các trường từ cơ sở dữ liệu. Vì vậy, kẻ tấn công có thể nhúng mã SQL và lấy dữ liệu về người dùng từ cơ sở dữ liệu và từ đó xác thực.
- CVE-2023-3939 (điểm CVSS: 10.0) - Lỗ hổng command injection cho phép thực thi các lệnh hệ điều hành (OS command) tùy ý với quyền root.
- CVE-2023-3940 (điểm CVSS: 7,5) - Lỗ hổng đọc tệp tùy ý cho phép kẻ tấn công bỏ qua kiểm tra bảo mật và truy cập bất kỳ tệp tin nào trên hệ thống, bao gồm cả dữ liệu nhạy cảm của người dùng và cài đặt hệ thống.
- CVE-2023-3941 (điểm CVSS: 10.0) - Lỗ hổng ghi tệp tùy ý cho phép kẻ tấn công ghi bất kỳ tệp nào trên hệ thống với quyền root, bao gồm cả việc thay đổi cơ sở dữ liệu người dùng để tạo người dùng lừa đảo.
- CVE-2023-3942 (điểm CVSS: 7,5) - Lỗ hổng SQL injection cho phép kẻ tấn công chèn mã SQL độc hại và thực hiện các hoạt động trái phép đối với cơ sở dữ liệu cũng như lấy cắp dữ liệu nhạy cảm.
- CVE-2023-3943 (điểm CVSS: 10.0) - Lỗ hổng tràn bộ đệm dựa trên Stack cho phép kẻ tấn công thực thi mã tùy ý.
Những kẻ tấn công có thể bán dữ liệu sinh trắc học bị đánh cắp, khiến các cá nhân bị ảnh hưởng phải đối mặt với nhiều nguy cơ bị tấn công deepfake và các cuộc tấn công kỹ thuật xã hội (social engineering) tinh vi. Ngoài ra, việc khai thác thành công những lỗ hổng có thể cho phép những kẻ bất chính có quyền truy cập vào các khu vực bị hạn chế và thậm chí cài cắm backdoor để xâm nhập vào các mạng quan trọng nhằm thực hiện gián điệp mạng hoặc các cuộc tấn công gây rối.
Kaspersky đã xác định được các lỗ hổng sau khi phân tích firmware (phiên bản ZAM170-NF-1.8.25-7354-Ver1.0.0) và giao thức độc quyền được sử dụng để giao tiếp với thiết bị và cho biết họ không có thông tin nào về việc liệu những vấn đề này đã được vá hay chưa.
Để giảm thiểu nguy cơ bị tấn công, người dùng nên đặt hệ thống sinh trắc học sang một phân đoạn mạng riêng biệt, sử dụng mật khẩu mạnh cho tài khoản quản trị viên, cải thiện cài đặt bảo mật thiết bị, giảm thiểu việc sử dụng mã QR và luôn cập nhật hệ thống.
Bá Phúc
07:00 | 08/01/2024
09:00 | 02/02/2022
09:00 | 23/08/2021
10:00 | 15/07/2024
15:00 | 24/12/2024
Theo thông tin do đội ngũ chuyên gia của Kaspersky chia sẻ, trong nửa đầu năm 2024, số lượng người dùng bị tội phạm mạng nhắm đến, sử dụng mồi nhử là các trò chơi phổ biến dành cho trẻ em đã tăng 30% so với nửa cuối năm 2023. Sau khi phân tích rủi ro tiềm ẩn đến từ các đối tượng trẻ em có sở thích chơi trò chơi điện tử, các nhà nghiên cứu phát hiện hơn 132.000 trường hợp đã trở thành mục tiêu của tội phạm mạng. Bài viết dưới đây sẽ thông tin tới độc giả các nội dung trong báo cáo mới nhất của Kaspersky về thực trạng tội phạm mạng nêu trên.
09:00 | 18/11/2024
Tin tặc đang lợi dụng cụm từ tìm kiếm "Mèo Bengal có hợp pháp ở Úc không" trên Google để phát tán phần mềm độc hại, gây nguy hiểm cho thiết bị của người dùng.
10:00 | 25/10/2024
Các cơ quan chính phủ tại Mỹ, Úc và Canada đưa ra cảnh báo các tác nhân đe dọa được nhà nước Iran bảo trợ sử dụng kỹ thuật tấn công Brute Force và nhiều phương thức khác để triển khai các chiến dịch tấn công mạng nhắm vào các tổ chức cơ sở hạ tầng quan trọng.
07:00 | 27/09/2024
Tổng cộng 6 triệu mã số định danh người nộp thuế Indonesia đã bị rò rỉ và rao bán công khai với giá 10.000 USD. Ngoài mã số định danh người nộp thuế, dữ liệu bị rò rỉ bao gồm mã số định danh quốc gia, email, địa chỉ, số điện thoại và thông tin cá nhân khác.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Trong thời đại kỹ thuật số, dữ liệu và thông tin cá nhân được xem như nguồn tài nguyên vô cùng quan trọng, đó là lý do tin tặc luôn tìm cách đánh cắp dữ liệu người dùng. Theo một báo cáo của công ty an ninh mạng CloudSEK (Ấn Độ), tin tặc đã đánh cắp lượng dữ liệu người dùng khổng lồ trong năm 2024.
12:00 | 14/01/2025
