Ranh giới giữa ChatGPT và Bing Chat đang ngày càng mờ nhạt

Nhiều lỗ hổng bảo mật quan trọng đã được tiết lộ trong các ứng dụng Android cài sẵn của Samsung, nếu bị khai thác thành công, có thể cho phép kẻ thù truy cập vào dữ liệu cá nhân mà không cần sự đồng ý của người dùng và kiểm soát thiết bị.

"Tác động của những lỗi này có thể cho phép kẻ tấn công truy cập và chỉnh sửa danh bạ, cuộc gọi, SMS / MMS của nạn nhân, cài đặt ứng dụng tùy ý với quyền quản trị viên thiết bị hoặc đọc và ghi các tệp tùy ý thay mặt người dùng hệ thống. Điều này có thể thay đổi thiết bị" Sergey Toshin, người sáng lập công ty khởi nghiệp bảo mật di động Oversecured, cho biết trong một phân tích được công bố hôm thứ Năm.

Toshin đã báo cáo các lỗ hổng cho Samsung vào tháng 2 năm 2021, sau đó các bản vá được nhà sản xuất phát hành như một phần của bản cập nhật bảo mật hàng tháng cho tháng 4 và tháng 5. Danh sách bảy lỗ hổng như sau:

• CVE-2021-25356 - bỏ qua xác thực của bên thứ ba trong Cấp phép được quản lý
• CVE-2021-25388 - Lỗ hổng cài đặt ứng dụng tùy tiện trong Knox Core
• CVE-2021-25390 - Chuyển hướng mục đích trong PhotoTable
• CVE-2021-25391 - Chuyển hướng mục đích trong Thư mục Bảo mật
• CVE-2021-25392 - Có thể truy cập tệp chính sách thông báo của DeX
• CVE-2021-25393 - Có thể đọc / ghi quyền truy cập vào các tệp tùy ý với tư cách là người dùng hệ thống (ảnh hưởng đến ứng dụng Cài đặt)
• CVE-2021-25397 - Ghi tệp tùy ý trong TelephonyUI

Tác động của những lỗ hổng này có nghĩa là chúng có thể bị lợi dụng để cài đặt các ứng dụng của bên thứ ba tùy ý, cấp đặc quyền quản trị thiết bị để xóa các ứng dụng đã cài đặt khác hoặc đánh cắp các tệp nhạy cảm, đọc hoặc ghi các tệp tùy ý với tư cách là người dùng hệ thống và thậm chí thực hiện các hành động đặc quyền.

Trong bản demo bằng chứng về khái niệm (PoC), Oversecured đã xác định rằng có thể tận dụng các lỗi chuyển hướng có ý định trong PhotoTable và Thư mục bảo mật để chiếm quyền truy cập thẻ SD và đọc danh bạ được lưu trữ trong điện thoại của ứng dụng. Tương tự như vậy, bằng cách khai thác CVE-2021-25397 và CVE-2021-25392, kẻ tấn công có thể ghi đè tệp lưu trữ tin nhắn SMS / MMS có nội dung độc hại và lấy cắp dữ liệu từ thông báo của người dùng.

Chủ sở hữu thiết bị Samsung được khuyến nghị áp dụng các bản cập nhật firmware mới nhất từ ​​công ty để tránh bất kỳ rủi ro bảo mật tiềm ẩn nào.