Apple vá lỗ hổng khóa màn hình trong iOS

Lỗ hổng được Jose Rodriguez, một người đam mê iPhone, cũng là người nổi tiếng với kênh YouTobe “videosdebarraquito” của chính mình, phát hiện ra. Jose Rodriguez cũng là người đã tiết lộ nhiều kỹ thuật vượt qua khóa màn hình (passcode) khác trước đây.

Việc khai thác lỗ hổng đòi hỏi cả việc truy nhập vật lý vào thiết bị và Siri (trợ lý ảo cá nhân, có chế độ hoạt động ngay cả khi màn hinh khóa) ở chế độ khả dụng, trong khi đó, Face ID (tính năng bảo mật sinh trắc học dựa trên nhận dạng khuôn mặt) ở chế độ tắt.

Một khi các điều kiện này được đáp ứng, kẻ tấn công có thể yêu cầu Siri bật tính năng có thể truy cập VoiceOver (tính năng đọc những thứ bạn chạm đến trên màn hình) để giúp những người khiếm thị có thể sử dụng thiết bị Apple nhờ có nội dung của màn hình và chọn các nút phát âm thanh cho họ.

Tin tặc sau đó có thể gọi thiết bị đã bị khóa hiển thị biểu tượng “tin nhắn” (Messages) trên màn hình, để tạo ra một thông báo, rồi đưa ra một trang trắng với các nút bấm và các chức năng đã bị ẩn đi. Bằng cách lạm dụng VoiceOver thông qua các chức năng, tin tặc có thể truy nhập vào danh bạ và các hình ảnh được lưu trữ trên thiết bị.

Apple đã phát hành phiên bản iOS 12.0.1 để xử lý vấn đề gây ra 2 lỗ hổng trong hệ điều hành này.

Apple cho biết, lỗ hổng đầu tiên mang số hiệu CVE-2018-4380, ảnh hưởng tới VoiceOver. "một vấn đề về màn hình khóa cho phép truy nhập vào các bức ảnh và những liên hệ trên thiết bị đã được khóa". Lỗ hổng thứ 2 là CVE-2018-4379, ảnh hưởng tới Quick Look - "một vấn đề về màn hình khóa cho phép truy nhập để chia sẻ tính năng trên thiết bị đã được khóa".

Như vậy, cập nhật nền tảng mới bao gồm 2 bản vá, cho cả iPhone 5s và các phiên bản iPhone sau này, iPad Air và các phiên bản sau này, iPod thế hệ thứ 6. Để xử lý các lỗ hổng, những bản vá đã giới hạn các tùy chọn cung cấp trên thiết bị bị khóa.

Apple cũng vừa đưa ra iCloud cho Windows 7.7 để xử lý 19 lỗ hổng trong Webkit (Khung ứng dụng nguồn mở cung cấp các thành phần cần thiết để xây dựng một trình duyệt web), bao gồm các lỗ hổng về hỏng hóc bộ nhớ, thực thi mã từ xa, hoạt động ngoài ý muốn, thực thi tập lệnh và lỗi do hàm ASSERT. Bản cập nhật đã sẵn sàng cho Windows 7 và các phiên bản gần đây nhất..