Các nhà nghiên cứu vừa phát hiện một vài lỗ hổng giúp thực thi từ xa trên iOS và OS X, cho phép hacker đột nhập vào các thiết bị Apple qua các tập tin hình ảnh đặc biệt.
Trong tuần này, Apple đã vá 10 lỗi bảo mật được phát hiện trên OS X và iOS, trong đó có 4 lỗi thuộc vào hàng rất nghiêm trọng được páht hiện bởi các chuyên gia của Cisco Talos. Lỗ hổng nghiêm trọng nhất là CVE-2016-4631 ảnh hưởng thành phần ImageIO có trong OS X 10.11.5, iOS 9.3.2 và các phiên bản trước đó. Lỗi này cũng ảnh hưởng đến các hệ điều hành watchOS và tvOS vốn được phát triển trên nền tảng iOS.
Theo Cisco, lỗi này có liên quan tới cách ImageIO xử lý tập tin ảnh TIFF. Hacker có thể khai thác lỗ hổng nhằm thực thi các đoạn mã tùy ý bằng cách gửi tới nạn nhân một tập tin ảnh đặc biệt nhằm tạo ra lỗi tràn bộ đệm.
Lỗ hổng này de dọa đến số lượng rất lớn thiết bị và tiềm ẩn nguy cơ cho hàng loạt các cuộc tấn công mạng. Các nhà nghiên cứu cho biết hacker có thể khai thác lỗi bằng việc chuyển file TIFF độc hại thông qua iMessages, tin nhắn MMS, website và các ứng dụng khác dùng ImageIO để xử lý ảnh. Các chuyên gia cảnh báo trong một số trường hợp việc khai thác không cần tương tác của người dùng bởi vì một số ứng dụng tự động xử lý ảnh khi nhận.
Lỗi thực thi code khác ảnh hưởng tới cả iOS và OS X là CVE-2016-4637, tồn tại trên trong thành phần CoreGraphics. Cisco cho biết lỗi này liên quan tới cách xử lý thuộc tính độ cao trong header của tập tin ảnh BMP. Hacker có thể tạo ra một tập tin BMP đặc biệt gây ra việc ghi đè khi mở một ứng dụng có sử dụng thành phần CoreGraphics.
Các lỗi an ninh khác gồm CVE-2016-4629 và CVE-2016-4630 được phía Cisco Talos khám phá cũng trong ImageIO có thể bị khai thác để thực thi code tùy ý sử dụng định dạng file OpenERX, định dạng file ảnh HDR được Industrial Light & Magic phát triển cho ngành công nghiệp hiệu ứng hình ảnh.
Cisco cũng cảnh báo một lỗi CVE-2016-1850 và được Apple vá vào tháng 5 khi phát hành OS X 10.11.5, lỗi này có thể giúp kẻ tấn công tận dụng để chiếm quyền và thực thi mã độc từ xa bằng việ sử dụng tập tin Digital Asset Exchange hoặc Collaborative Design Activity.
Theo: Security Week
