Các ứng dụng phổ biến trên Google Play vẫn chưa được vá

Hầu hết mọi người nghĩ rằng nếu họ cập nhậtphiên bản mới nhất của các ứng dụng di động thì họ cũng đang vá các lỗ hổng nghiêm trọng.

Tuy nhiên, không phải vậy, các nhà nghiên cứu từ hãng bảo mật Check Point đã phát hiện ra rằng các mã lỗi thời bao gồm các lỗ hổng đã biết, vẫn tồn tại trong hàng trăm ứng dụng phổ biến trên cửa hàng Google Play, bao gồm Facebook, Instagram, WeChat và Yahoo Browser.

Trong một nghiên cứu kéo dài một tháng, Check Point đã kiểm tra chéo các phiên bản mới nhất của các ứng dụng di động cấu hình cao này đối với ba lỗ hổng thực thi mã từ xa (RCE) có từ năm 2014, 2015 và 2016.

Theo nhà nghiên cứu bảo mật Slava Makkaveev của Check Point, những gì họ phát hiện thấy có thể khiến nhiều người ngạc nhiên: Các lỗ hổng nghiêm trọng mà các nhà phát triển ứng dụng tuyên bố đã vá vẫn tồn tại trong các phiên bản mới nhất của các ứng dụng di động phổ biến.

“Chỉ có ba lỗ hổng, tất cả đã được vá từ hai năm trước, đã khiến hàng trăm ứng dụng có thể bị khai thác để thực thi mã từ xa.Bạn có thể tưởng tượng có bao nhiêu ứng dụng phổ biến mà kẻ tấn công có thể nhắm mục tiêu nếu anh ta quét Google Play để tìm kiếm hàng trăm lỗ hổng đã biết không?”, Slava Makkaveev cho biết.

Nghiên cứu cũng chứng minh các bản cập nhật được các nhà phát triển ứng dụng đưa ra không phải là một sự bảo đảm rằng các thiết bị di động sẽ được an toàn khỏi các mối đe dọa.

Về mặt lý thuyết, theo Check Point, kẻ tấn công vẫn có thể đánh cắp và thay đổi các bài đăng trên Facebook, trích xuất dữ liệu vị trí từ Instagram và đọc tin nhắn SMS trong WeChat.

Nghiên cứu này quả là một bất lợi lớn đối với Google, khi công ty này đang tìm cách loại bỏ các ứng dụng "xấu" khỏi cửa hàng Google Play. Động thái mới đây nhất, Google tuyên bố sẽ hợp tác với ba công ty bảo mật lớn khác để khởi động một dự án mới có tên là Liên minh phòng thủ ứng dụng (App Defense Alliance), để có thêm các nguồn lực trong cuộc chiến chống lại các ứng dụng độc hại xâm nhập vào cửa hàng Play.

Một phần trong nghiên cứu Check Point tập trung vào ba lỗ hổng RCE nghiêm trọng: một lỗi mã hóa âm thanh FLAC (CVE-2014-8962), lỗi phát trực tiếp video FFmpeg RTMP (CVE-2015-8271) và lỗi xử lý đa phương tiện libavformat FFmpeg (CVE-2016-3062).

Các nhà nghiên cứu nhấn mạnh, chỉ có ba lỗ hổng, tất cả đã được vá từ hai năm trước, khiến hàng trăm ứng dụng có bị khai thác.

Cũng theo cách này, một ứng dụng có thể vẫn tiếp tục sử dụng phiên bản mã đã lỗi thời sau nhiều năm kể từ khi lỗ hổng được phát hiện và vá.

Check Point đã thông báo tới các công ty chịu trách nhiệm về các ứng dụng dễ bị tổn thương mà hãng phát hiện trong nghiên cứu của mình, bao gồm cả Google. Hiện tại, công ty bảo mật khuyến cáo mọi người dùng cài đặt các ứng dụng chống virus nhằm giám sát và phát hiện những ứng dụng dễ bị tấn công trên thiết bị di động của họ.