Một bug hunter (thợ săn lỗi bảo mật) đã phát hiện và tiết lộ công khai chi tiết về một lỗ hổng chưa được vá giả mạo thanh địa chỉ trình duyệt đang ảnh hưởng đến các ứng dụng UC Browser và UC Browser Mini phổ biến của Trung Quốc cho Android.
Được phát triển bởi UCWeb thuộc sở hữu của Alibaba, UC Browser là một trong những trình duyệt di động phổ biến nhất hiện nay, đặc biệt là ở Trung Quốc và Ấn Độ với hơn nửa tỷ người dùng trên toàn thế giới.
Lỗ hổng giả mạo Thanh địa chỉ URL
Nhà nghiên cứu chi tiết bảo mật Arif Khan cho biết lỗ hổng này nằm ở lối vào Giao diện người dùng (User Interface) trên cả hai trình duyệt, xử lý cùng một tính năng tích hợp đặc biệt vốn được thiết kế để cải thiện trải nghiệm tìm kiếm của người dùng Google.
Lỗ hổng này chưa được chỉ định bất kỳ số nhận dạng CVE nào. Lỗ hổng có thể cho phép kẻ tấn công kiểm soát chuỗi URL hiển thị trên thanh địa chỉ, từ đó khiến cho một trang web độc hại hiện thị như một trang web hợp pháp.
Theo Google Play Store thì lỗ hổng này ảnh hưởng đến UC Browser phiên bản mới nhất 12.11.2.1184 – hiện có hơn 500 triệu người dùng và UC Browser Mini phiên bản 12.10.1.1192 với 100 triệu người dùng.
Mặc dù lỗ hổng này tương tự như lỗ hổng Khan đã phát hiện hồi tháng trước trong trình duyệt MI được cài đặt sẵn trên điện thoại thông minh Xiaomi và trình duyệt Mint, nhưng có một điểm khác biệt là các trang lừa đảo chứa lỗ hổng mới được phát hiện trong UC Browser vẫn để lại một vài chỉ số mà người dùng cảnh giác có thể phát hiện ra ngay.
Cách tin tặc sử dụng lỗ hổng để tấn công
Khi người dùng tìm kiếm thông tin trên “google.com” bằng UC Browsers, trình duyệt sẽ tự động xóa tên miền khỏi thanh địa chỉ và chỉ viết lại để hiển thị chuỗi truy vấn tìm kiếm cho người dùng.
Arif nhận thấy rằng logic khớp mẫu được sử dụng bởi UC Browsers là không đủ và có thể bị những kẻ tấn công lạm dụng bằng cách tạo tên miền phụ trên tên miền riêng của chúng, ví dụ như “www.google.com.phishing-site.com?q=www.facebook.com,” để lừa các trình duyệt nghĩ rằng trang web đã cho là” www.google.com “và truy vấn tìm kiếm là” www.facebook.com. “
Lỗ hổng giả mạo Thanh địa chỉ URL này có thể được sử dụng để dễ dàng lừa người dùng UC Browser nghĩ rằng họ đang truy cập một trang web đáng tin cậy trong khi thực tế đó là một trang web lừa đảo.
Arif giải thích trên blog cá nhân rằng thực tế, các quy tắc Regex (Regular Expressions) của họ chỉ khớp với chuỗi URL hoặc một URL bất kỳ mà người dùng đang cố truy cập vào mẫu danh sách trắng (whitelist pattern) nhưng chỉ để kiểm tra xem URL có bắt đầu bằng một chuỗi như www.google.com. Việc này cho phép những kẻ tấn công bỏ qua kiểm tra Regex bằng một cách đơn giản là sử dụng tên miền phụ trên tên miền của chúng như www.google.com.vn/blogspot.com và đính kèm tên miền đích mà chúng muốn đặt vào phần truy vấn của tên miền phụ đó, ví dụ như ?q = www.facebook.com.
Không giống như lỗ hổng của trình duyệt Xiaomi, lỗ hổng UC Browers không cho phép kẻ tấn công giả mạo chỉ số SSL. Đây là yếu tố cơ bản và quan trọng mà người dùng có thể kiểm tra chéo để xác định xem một trang web là giả mạo hay hợp pháp.
UC Brower chưa có phản hồi thỏa đáng về lỗ hổng
The Hacker News đã tự xác minh lỗ hổng và có thể xác nhận rằng nó hoạt động trên các phiên bản mới nhất của cả hai trình duyệt web có sẵn tại thời điểm viết.
Điều thú vị ở đây là nhà nghiên cứu cũng đề cập rằng một số phiên bản cũ và các phiên bản khác của UC Browser và UC Browser Mini không bị ảnh hưởng bởi lỗ hổng giả mạo Thanh địa chỉ URL này. Điều này cho thấy một tính năng mới có thể đã được thêm vào trình duyệt là nguyên nhân gây ra sự cố này.
Khan đã báo cáo lỗ hổng cho nhóm bảo mật của UC Browser hơn một tuần trước nhưng công ty này vẫn hiện vẫn chưa giải quyết vấn đề, thay vào đó chỉ đơn giản là gắn trạng thái “Bỏ qua” lỗ hổng trên báo cáo của nhà nghiên cứu. Trong tháng trước thì các báo chí cũng đã từng đồng loạt đưa tin về UC Brower khi các nhà nghiên cứu tìm thấy một tính năng “ẩn” trong ứng dụng Android có thể bị tin tặc khai thác để tải xuống từ xa và thực thi mã độc trên điện thoại Android rồi chiếm quyền điều khiển thiết bị.
Thêm bình luận