Lỗ hổng có mã định danh CVE-2023-45866, đây là một lỗi liên quan đến trường hợp vượt qua kiểm tra xác thực, cho phép kẻ tấn công kết nối các thiết bị nhạy cảm và thực hiện thao tác nhấn bàn phím để thực thi mã với tư cách là nạn nhân.
Nhà nghiên cứu bảo mật Marc Newlin, người đã báo cáo lỗ hổng cho các nhà cung cấp phần mềm vào tháng 8/2023, cho biết: “Nhiều ngăn xếp (stack) Bluetooth tồn tại lỗ hổng bỏ qua xác thực cho phép kẻ tấn công kết nối với máy chủ mà không cần xác nhận của người dùng và thực hiện thao tác nhấn bàn phím”.
Cụ thể, cuộc tấn công đánh lừa thiết bị mục tiêu nghĩ rằng nó được kết nối với bàn phím Bluetooth bằng cách lợi dụng “cơ chế ghép nối không cần xác thực” (unauthenticated pairing mechanism) của Bluetooth. Khai thác thành công lỗ hổng có thể cho phép kẻ tấn công ở gần kết nối với thiết bị dễ bị tấn công và truyền các thao tác nhấn bàn phím để cài đặt ứng dụng và thực thi lệnh tùy ý.
Điều đáng chú ý là cuộc tấn công không yêu cầu bất kỳ phần cứng chuyên dụng nào và có thể được thực hiện từ máy tính Linux thông qua bộ chuyển đổi (adapter) Bluetooth thông thường. Các chi tiết kỹ thuật bổ sung của lỗ hổng này hiện vẫn chưa được công khai để tránh bị kẻ xấu khai thác lạm dụng.
Giám đốc công ty an ninh mạng Cyware (Mỹ), ông Emily Phelps giải thích rằng trong lần khai thác lỗ hổng CVE-2023-45866, kẻ tấn công đánh lừa hệ thống Bluetooth của thiết bị khiến nó tin tưởng rằng đang kết nối với bàn phím mà không cần xác nhận của người dùng. Sự cố này xuất phát từ một phần mặc định của Bluetooth cho phép các thiết bị kết nối mà không cần xác thực.
Phelps cho biết: “Việc khai thác lỗ hổng này cho phép tin tặc điều khiển từ xa thiết bị của người dùng. Từ đó có thể tải xuống ứng dụng, gửi tin nhắn hoặc chạy nhiều lệnh khác nhau tùy thuộc vào hệ điều hành”.
John Gallagher, Phó chủ tịch của hãng bảo mật Viakoo (Mỹ) giải thích, khi các thiết bị giao tiếp với nhau, đầu tiên sẽ có giai đoạn “bắt tay”, trong đó hai hệ thống đồng ý giao tiếp với nhau, điều mà kẻ tấn công đã lợi dụng là nhiều thiết bị IoT, chẳng hạn như bàn phím Bluetooth, muốn làm cho việc bắt tay đó trở nên dễ dàng nhất có thể, đặc biệt là vì bàn phím không thể được sử dụng cho đến khi quá trình bắt tay hoàn tất.
Gallagher cho biết: “Trong nhiều thiết bị IoT, thông tin liên lạc được đặt theo mặc định là khả dụng, ví dụ như Wifi, Bluetooth. Các chipset được sử dụng thường hỗ trợ tất cả các giao thức tiêu chuẩn để có thể sử dụng chúng trên nhiều loại hệ thống”.
Gallagher cũng chỉ ra rằng việc duy trì an ninh vật lý bằng giám sát video và kiểm soát truy cập là các biện pháp hỗ trợ mà các tổ chức có thể bảo vệ cơ sở hạ tầng của họ, đồng thời cho biết thêm rằng nhiều cuộc tấn công mạng như thế này sẽ được thực hiện dễ dàng nếu tin tặc có thể giành được quyền truy cập vật lý. Gallagher cho biết: “Đây là một lý do khác khiến hệ thống bảo mật vật lý thường là mục tiêu của các tin tặc”.
Lỗ hổng CVE-2023-45866 ảnh hưởng đến nhiều loại thiết bị chạy Android (từ phiên bản 4.2.2, được phát hành vào tháng 11/2012), iOS, Linux và macOS. Ngoài ra, lỗi này cũng ảnh hưởng đến macOS và iOS khi Bluetooth đã được bật và bàn phím Magic đã được ghép nối với thiết bị dễ bị tấn công. Nó cũng hoạt động ngay cả khi thiết bị ở chế độ LockDown của Apple.
Trong một tư vấn bảo mật mới đây, Google cho biết, lỗ hổng CVE-2023-45866 có thể dẫn đến việc leo thang đặc quyền từ xa trong phạm vi gần mà không cần đặc quyền thực thi bổ sung. Để giảm thiểu các rủi ro tiềm ẩn, người dùng nên kiểm tra và tắt tính năng Bluetooth khi không sử dụng.
Quốc Trung
(Tổng hợp)
13:00 | 23/01/2024
07:00 | 18/01/2024
09:00 | 08/12/2023
09:00 | 04/01/2022
07:00 | 18/01/2024
08:00 | 11/01/2024
10:00 | 25/05/2020
14:00 | 22/02/2024
Các nhà nghiên cứu của hãng bảo mật Kaspersky đã phát hiện ra một dòng phần mềm độc hại mới được phân phối một cách bí mật thông qua các ứng dụng, phần mềm bẻ khóa (crack), nhắm mục tiêu vào ví tiền điện tử của người dùng macOS. Theo các nhà nghiên cứu, mối đe dọa mới này có những tính năng nổi trội hơn so với việc cài đặt trái phép Trojan trên các máy chủ proxy đã được phát hiện trước đó.
08:00 | 06/02/2024
GitLab vừa phát hành các bản vá lỗi để giải quyết một lỗ hổng bảo mật nghiêm trọng trong phiên bản dành cho cộng đồng (CE) và phiên bản dành cho doanh nghiệp (EE). Lỗ hổng có thể bị khai thác để ghi các tệp tùy ý trong khi tạo workspace.
07:00 | 15/01/2024
Pegasus được đánh giá là một trong những phần mềm gián điệp mạnh mẽ nhất hiện nay, chúng có các chức năng đánh cắp dữ liệu toàn diện hơn rất nhiều so với các phần mềm gián điệp khác, với khả năng thu thập thông tin mọi thứ từ dữ liệu có giá trị cao như mật khẩu, danh bạ và các dữ liệu từ các ứng dụng khác. Trong bài báo này, tác giả sẽ giới thiệu tổng quan về mã độc Pegasus và biến thể Chrysaor cùng các phương thức tấn công và cách phòng chống mã độc nguy hiểm này.
17:00 | 21/12/2023
Mới đây, nhóm Nghiên cứu và Phân tích Toàn cầu của Kaspersky phát hiện một chiến dịch gián điệp mạng đang nhắm mục tiêu đánh cắp dữ liệu lưu trữ trên các thiết bị USB an toàn sử dụng trong các cơ quan, tổ chức chính phủ các nước Châu Á - Thái Bình dương (APAC).
DinodasRAT hay còn được gọi là XDealer là một backdoor đa nền tảng được phát triển bằng ngôn ngữ C++ cung cấp nhiều tính năng độc hại. DinodasRAT cho phép kẻ tấn công theo dõi và thu thập dữ liệu nhạy cảm từ máy tính của mục tiêu. Một phiên bản cho hệ điều hành Windows của phần mềm độc hại này đã được sử dụng trong các cuộc tấn công nhắm mục tiêu vào các thực thể của Chính phủ Guyana và được các nhà nghiên cứu tới từ công ty bảo mật ESET (Slovakia) báo cáo với tên gọi là chiến dịch Jacana. Bài viết sẽ phân tích cơ chế hoạt động của phần mềm độc hại DinodasRAT dựa trên báo cáo của hãng bảo mật Kaspersky.
19:00 | 30/04/2024