Chia sẻ trên blog, các nhà nghiên cứu cho biết gần đây họ đã tiến hành phân tích các ứng dụng và xác định được 8 lỗ hổng trong nhiều ứng dụng Microsoft dành cho macOS, cho phép kẻ tấn công có thể bỏ qua mô hình cấp quyền của hệ điều hành bằng cách sử dụng các quyền ứng dụng hiện có mà không cần nhắc người dùng xác minh thêm.
Nếu thành công, kẻ tấn công có thể giành được các đặc quyền đã được cấp cho các ứng dụng Microsoft bị ảnh hưởng. Ví dụ, kẻ tấn công có thể gửi email từ tài khoản người dùng mà nạn nhân không hề hay biết hay ghi lại các đoạn âm thanh, chụp ảnh hoặc quay video mà không cần bất kỳ tương tác nào của người dùng.
Dưới đây là danh sách các lỗ hổng mà Talos phát hiện với CVE tương ứng:
Danh sách các lỗ hổng Microsoft Office mà Talos vừa phát hiện
MacOS của Apple có một nền tảng được gọi là Transparency Consent and Control (TCC), quản lý quyền truy cập của các ứng dụng, ví dụ như dịch vụ vị trí, camera, micro, thư viện ảnh và các tệp khác. Sau khi cài đặt, các ứng dụng đều cần phải được cấp quyền trước khi có thể hoạt động.
Các nhà nghiên cứu giải thích: "Chúng tôi đã xác định được 8 lỗ hổng trong nhiều ứng dụng Microsoft dành cho macOS, qua đó kẻ tấn công có thể vượt qua mô hình cấp phép của hệ điều hành bằng cách sử dụng các quyền ứng dụng hiện có mà không cần nhắc người dùng xác minh thêm".
Ví dụ, tin tặc có thể tạo phần mềm độc hại để ghi âm từ micro hoặc thậm chí chụp ảnh mà không cần bất kỳ tương tác nào của người dùng. "Tất cả các ứng dụng, ngoại trừ Excel đều có khả năng ghi âm, một số thậm chí có thể truy cập vào camera", các nhà nghiên cứu cho biết thêm.
Microsoft đang nỗ lực khắc phục lỗi, nhưng có vẻ như đây không phải là ưu tiên hàng đầu.
Theo Cisco Talos, Microsoft coi lỗ hổng này là “rủi ro thấp” vì nó dựa vào việc tải các thư viện chưa được ký để hỗ trợ các plugin của bên thứ ba.
Sau khi báo cáo được công bố, Microsoft đã cập nhật các ứng dụng Microsoft Teams và OneNote cho macOS với những thay đổi về cách các ứng dụng này xử lý quyền xác thực thư viện. Tuy nhiên, Excel, PowerPoint, Word và Outlook vẫn dễ bị khai thác.
Các nhà nghiên cứu đặt câu hỏi tại sao Microsoft lại cần phải vô hiệu hóa xác thực thư viện: "Bằng cách sử dụng quyền này, Microsoft đang bỏ qua các biện pháp bảo vệ, có khả năng khiến người dùng phải chịu những rủi ro không cần thiết".
Đồng thời, các nhà nghiên cứu lưu ý rằng Apple cũng có thể thực hiện các thay đổi đối với TCC để làm cho hệ thống an toàn hơn. Nhóm đề xuất rằng hệ thống nên nhắc nhở người dùng khi tải các plugin của bên thứ ba vào các ứng dụng đã được cấp quyền.
Nhiều ứng dụng Microsoft tồn tại lỗ hổng có thể khiến người dùng bị theo dõi
Lưu Giáp
14:00 | 06/09/2023
11:00 | 03/09/2024
14:00 | 09/09/2024
14:00 | 17/08/2023
15:00 | 11/05/2021
08:00 | 19/10/2017
15:45 | 30/05/2016
16:00 | 22/01/2025
Trong tháng 12, Microsoft, Adobe và SAP đã phát hành bản vá cho các sản phẩm của mình. Người dùng cần khẩn trương cài đặt bản vá để phòng tránh rủi ro mất an toàn thông tin.
12:00 | 23/12/2024
Mỹ tuyên bố thưởng 10 triệu USD cho người cung cấp thông tin về tin tặc Trung Quốc bị cáo buộc tấn công 81.000 thiết bị tường lửa.
07:00 | 02/12/2024
Theo cảnh báo của Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT/CC) thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông, các thủ đoạn lừa đảo tài chính trực tuyến đang gia tăng tại Việt Nam, nhất là chiêu trò giả mạo tổ chức tài chính để mời chào người dân vay tiền, từ đó chiếm đoạt thông tin và tài sản.
08:00 | 15/11/2024
Hơn 30 lỗ hổng bảo mật đã được tiết lộ trong nhiều mô hình trí tuệ nhân tạo (AI) và máy học (ML) nguồn mở khác nhau. Đáng lưu ý, một số trong đó có thể dẫn đến thực thi mã từ xa và đánh cắp thông tin.
Năm 2025 được dự báo sẽ chứng kiến sự gia tăng các cuộc tấn công mạng, với sự xuất hiện và phát triển mạnh mẽ của những phần mềm độc hại nhắm vào cả cá nhân lẫn tổ chức trên toàn cầu. Bài viết tập trung nghiên cứu và phân tích 5 mối đe dọa phần mềm độc hại hàng đầu được dự báo sẽ gây ảnh hưởng lớn nhất trong năm nay. Từ những dòng mã độc tống tiền tinh vi đến trojan đánh cắp thông tin và công cụ truy cập từ xa. Những mối đe dọa này không chỉ đặt ra thách thức lớn cho các chuyên gia an ninh mạng mà còn yêu cầu sự chuẩn bị kỹ lưỡng từ mọi tổ chức và cá nhân.
10:00 | 06/02/2025