[Cập nhật] Lỗ hổng bảo mật nghiêm trọng trên iOS với sự tương tác của người dùng không bị phát hiện đang bị khai thác tích cực trong ứng dụng Wild Inside Apple Mail

Apple iOS, hệ điều hành chạy trên iPhone, dễ bị tấn công bởi nhiều lỗ hổng bảo mật mới. Cần lưu ý rằng các lỗ hổng không cần sự tương tác của người dùng. Các lỗ hổng bảo mật có thể được thực thi hoàn toàn mà người dùng không cần phải thực hiện bất kỳ hành động nào, nhấp vào bất kỳ liên kết nào, tải xuống bất kỳ ứng dụng nào, v.v. Ngẫu nhiên, Đây không phải là lần đầu tiên những lỗ hổng nghiêm trọng như vậy bên trong iOS được phát hiện.

Hai lỗ hổng bảo mật nghiêm trọng mới bên trong hệ điều hành iOS của Apple đã được tiết lộ hôm nay. Rõ ràng, những lỗ hổng này trong iOS có khả năng cho phép những kẻ tấn công có quyền truy cập vào thiết bị iPhone chạy iOS mà không cần bất kỳ hành động nào của người dùng. Quan trọng hơn, cuộc tấn công được thực hiện từ xa cũng có thể cho phép Thực thi mã từ xa (RCE), có thể bao gồm quyền kiểm soát quản trị đối với iPhone của nạn nhân. Mặc dù vẫn chưa được chứng thực chính thức, nhưng các lỗ hổng bảo mật mới được phát hiện đang được khai thác một cách hoang dã. Rõ ràng, Apple đã biết về các lỗi bảo mật và dự kiến sẽ phát hành một bản cập nhật để vá lỗi tương tự.

Apple iOS 6 Trên Thiết bị iPhone dễ bị tổn thương với các lỗ hổng bảo mật mới được phát hiện và chủ động khai thác:

Các lỗ hổng bảo mật mới được phát hiện trong hệ điều hành iOS của Apple cho phép kẻ tấn công tấn công thiết bị của nạn nhân từ xa. Hơn nữa, các lỗ hổng cho phép những kẻ tấn công có quyền truy cập vào thiết bị iOS mà không cần bất kỳ hành động nào của người dùng. Phần lớn các cuộc tấn công yêu cầu một số hành động của người dùng như nhấp vào liên kết, cài đặt một số ứng dụng hoặc mở tài liệu để cuộc tấn công bắt đầu. Tuy nhiên, trong trường hợp này, kẻ tấn công có thể vừa gửi email tiêu tốn dung lượng bộ nhớ đáng kể, vừa có được khả năng thực thi mã từ xa trong thiết bị.

Công ty bảo mật ZecOps đã phát hiện ra các lỗ hổng bảo mật nghiêm trọng bên trong iOS mà không có sự tương tác của người dùng. Các nhà nghiên cứu tại công ty tuyên bố những kẻ tấn công đã sử dụng những lỗ hổng này trong tự nhiên. Không xác định được mục tiêu, các nhà nghiên cứu tuyên bố các lỗ hổng bảo mật mới được phát hiện đã được sử dụng thành công để nhắm mục tiêu vào các cá nhân sau:

Các cá nhân từ một tổ chức Fortune 500 ở Bắc Mỹ
Một giám đốc điều hành của một nhà mạng ở Nhật Bản
VIP từ Đức
MSSP từ Ả Rập Saudi và Israel
Một nhà báo ở Châu Âu
Bị nghi ngờ: Một giám đốc điều hành từ một doanh nghiệp Thụy Sĩ

iOS là hệ điều hành mã nguồn đóng hoàn toàn do Apple thiết kế và phát triển. Nó được kiểm soát và quy định nghiêm ngặt. Hệ điều hành không mở như Google Android. Phiên bản iOS mới nhất là iOS 13. Tuy nhiên, tất cả các thiết bị chạy iOS 6 trở lên đều bị ảnh hưởng bởi các lỗi bảo mật này. Các nhà nghiên cứu bảo mật đang điều tra về các lỗ hổng đã nêu bật những cách mà kẻ tấn công có thể xâm phạm iPhone chạy iOS của Apple. Trong các phiên bản iOS gần đây, cuộc tấn công có thể được thực hiện bằng những cách dưới đây:

Tấn công trên iOS 13: Các cuộc tấn công không được hỗ trợ (/ không nhấp chuột) trên iOS 13 khi ứng dụng Thư được mở trong nền
Tấn công trên iOS 12: Cuộc tấn công yêu cầu một cú nhấp chuột vào email. Cuộc tấn công sẽ được kích hoạt trước khi hiển thị nội dung. Người dùng sẽ không nhận thấy bất kỳ điều gì bất thường trong chính email
Các cuộc tấn công không được hỗ trợ trên iOS 12 có thể được kích hoạt (còn gọi là không nhấp) nếu kẻ tấn công kiểm soát máy chủ thư

Apple để vá các lỗ hổng bảo mật trong bản cập nhật sắp tới:

Các nhà nghiên cứu khẳng định Apple đã biết về những lỗi bảo mật này trong iOS. Họ nói thêm rằng Apple dự kiến sẽ phát hành một bản cập nhật gia tăng cho iOS, bao gồm một bản sửa lỗi sẽ vá các lỗ hổng. Tuy nhiên, cho đến khi Apple phát hành bản cập nhật, vẫn có cách để tránh bị nhắm mục tiêu hoặc trở thành nạn nhân của các lỗi bảo mật.

Các nhà nghiên cứu khuyên bạn nên tránh hoàn toàn ứng dụng Apple Mail. Đây là nền tảng gửi email được thiết kế, phát triển và duy trì bởi Apple. Ngẫu nhiên, ứng dụng thư không hỗ trợ các tài khoản email của bên thứ ba như Gmail, Outlook, v.v. Do đó, cho đến khi Apple phát hành bản cập nhật để sửa lỗi, người dùng có thể phụ thuộc vào ứng dụng Microsoft Outlook hoặc các ứng dụng email tương tự khác.

[Cập nhật]Apple được cho là đã phát hành bản cập nhật để vá hai lỗ hổng bảo mật bên trong Ứng dụng Apple Mail.