Lỗ hổng trong quá trình thực thi code từ xa (RCE) cho phép hacker xâm nhập và kiểm soát toàn bộ smartphone Xiaomi.

Hiện tại lỗ hổng này đã được vá. Nó tồn tại trong các phiên bản MIUI trước phiên bản Global Stable 7.2 dựa trên Android 6.0 của Google. David Kaplan, nhà nghiên cứu của IBM X-Force, chính là người khám phá ra lỗ hổng này.

Để lây lan mã độc, cài đặt phần mềm độc hại từ xa, hacker có thể lợi dụng các truy cập mạng tại nơi công cộng như cà phê WiFi. Các nhà nghiên cứu phát nhiện ra rằng một số ứng dụng trong gói phân tích của MIUI có thể bị lạm dụng để cung cấp thông tin cập nhật ROM chứa mã độc.



"Lỗ hổng mà chúng tôi phát hiện ra cho phép hacker triển khai một cuộc tấn công man-in-the-middle nhằm thực thi các code tùy ý giống như tài khoản Android có quyền cao nhất", các nhà nghiên cứu chia sẻ

Các gói phân tích dễ bị tổn thương tồn tại trong ít nhất bốn ứng dụng mặc định được cung cấp bởi Xiaomi trong hệ điều hành MIUI của hãng. Một trong số đó là ứng dụng trình duyệt mặc định.

Lợi dụng lỗ hổng, hacker có thể thêm vào một phản ứng JSON để kích hoạt tải về một bản cập nhật với đường link giả và hàm băm MD5 với gói ứng dụng Androi có chứa mã độc được thực hiện ở cấp độ hệ thống, cấp độ có quyền cao nhất trên các thiết bị Android.

Để vá lỗ hổng này, người dùng thiết bị Xiaomi nên mau chóng cập nhật phiên bản Global Stable 7.2.

Tham khảo The Hacker News

---

#Mobile, #xiaomi, #phần-mềm-độc-hại, #lỗi-bảo-mật, #thiết-bị-android, #smartphone-xiaomi, #news