InstagramMột báo cáo kỹ thuật đã được chuẩn bị cho một lỗ hổng được phát hiện vài tháng trước trong phiên bản iOS và Android của. Báo cáo do công ty an ninh mạng Check Point chuẩn bị cho thấy các lỗ hổng bảo mật thực sự có thể bị khai thác dễ dàng như thế nào.
vào mùa xuân Instagramtrong các phiên bản iOS và Android của phê bình Một lỗ hổng bảo mật đã được phát hiện. Lỗ hổng này cho phép kẻ tấn công truy cập vào dữ liệu của người dùng mục tiêu. Instagramcấp cho người dùng toàn quyền kiểm soát tài khoản của họ hoặc thậm chí trên thiết bị di động. toàn quyền kiểm soát đã gây ra nó. Mặc dù lỗ hổng này đã được đóng lại, nhưng các tuyên bố mới về mặt kỹ thuật giải thích cách lỗ hổng có thể bị khai thác.
Theo các tuyên bố được thực hiện InstagramRất dễ dàng khai thác lỗ hổng của nó thật đơn giản. Nếu kẻ tấn công tạo ra một hình ảnh tùy chỉnh và gửi nó đến người dùng được nhắm mục tiêu, thì một quyền truy cập trên phạm vi rộng đã được mở do lỗ hổng bảo mật. Hình ảnh có liên quan của người dùng mục tiêu được chuyển đến điện thoại của anh ta. để tiết kiệm và tin tặc có thể truy cập tất cả dữ liệu của người dùng mục tiêu.
Instagramlỗ hổng nghiêm trọng của Trạm kiểm soát Nó được phát hiện bởi một công ty an ninh mạng. Công ty đã sửa lỗ hổng này. FacebookSau khi thông báo, các quy trình cần thiết đã được bắt đầu và mở nó đóng cửa rồi. Tuy nhiên, Check Point, công ty đưa ra các giải thích kỹ thuật về lỗ hổng này, cung cấp sự hiểu biết về mức độ dễ dàng mà các lỗ hổng bảo mật có thể bị khai thác thực sự và loại rủi ro mà người dùng đang gặp phải.
Theo báo cáo kỹ thuật của Gal Elbaz của Check Point Instagramlỗ hổng bảo mật do bên thứ ba gây ra đó là tích hợp mã. chuyên gia an ninh mạng, Instagramcũng được sử dụng trong mozjpeg Nó nói rằng một bộ mã hóa JPEG mã nguồn mở có tên JPG đã gây ra lỗ hổng này. InstagramBộ mã hóa này đang cố tải một hình ảnh mà nó cho là nhỏ hơn nhưng thực tế lại quá lớn, gây ra sự cố. Đó là loại trục trặc, “tràn bộ đệm ngăn xếpCòn được biết là “.
- Ghi chú: Bộ mã hóa JPEG mã nguồn mở có tên MozjpegMozilla và Facebook Được phát triển chung bởi Tính năng đáng chú ý của bộ mã hóa này là mặc dù nó tạo ra các tệp JPEG (tức là nhiều ảnh) với kích thước nhỏ hơn, không giảm chất lượng. Theo cách này, cả Mozilla và Facebookcơ sở dữ liệu của sẽ được nới lỏng và người dùng sẽ được cung cấp trải nghiệm tải trực quan nhanh hơn.
Theo báo cáo do Check Point chuẩn bị, các chuyên gia đã sử dụng mã của Mozjpeg, bộ mã hóa JPEG InstagramHọ đã nghiên cứu nó để xem liệu nó có ảnh hưởng gì không. Đây là lỗ hổng nghiêm trọng được đề cập. nghiên cứu nổi lên trong thời gian. Trong báo cáo do anh tạo ra, Elbaz đã tiết lộ lỗ hổng bảo mật đang chạy mã nào. bị bóc lột cũng chia sẻ;
Để khai thác lỗ hổng của một hacker, Elbaz 2Lớn hơn ^ 32 byte chỉ ra rằng nó phải chỉ định một kích thước. Đây là một kẻ tấn công tạo ra một hình ảnh đáp ứng các điều kiện này và gửi hình ảnh này đến người dùng mục tiêu. Instagram đã đạt được. Trên thực tế, theo Elbaz, một hacker có thể lợi dụng lỗ hổng này. mã của riêng bạn Nó thậm chí có thể chạy.
Có thể tóm tắt hoạt động của lỗ hổng này như sau:
- Gửi một hình ảnh đủ điều kiện cho nạn nhân. Hình ảnh này có thể được gửi qua SMS, WhatsApp hoặc các ứng dụng email.
- Sau khi hình ảnh được lưu trên điện thoại, nạn nhân InstagramChờ nó đăng nhập.
- Nạn nhân, InstagramỨng dụng sẽ bị treo khi cố gắng truy cập. Trong quá trình này, lỗ hổng có thể bị khai thác theo nhiều cách khác nhau.
Đây là báo cáo chính thức này, cách người dùng các lỗ hổng bảo mật dễ Nó cho thấy bằng cách nào đó họ có thể trở thành nạn nhân. Cũng có thể mở rộng các quy trình mà chúng tôi đã mô tả ở trên. Nói cách khác, có khả năng lỗ hổng này có thể dẫn đến nhiều hơn nữa. Tuy nhiên, Check Point đã phát hiện ra lỗ hổng. FacebookĐể khắc phục lỗ hổng này sau khi báo cáo với bên trái. Bởi vì lỗ hổng đã nhanh chóng được đóng lại và rủi ro biến mất.
Nguồn: https://www.bleepingcomputer.com/news/security/instagram-bug-allowed-crashing-the-app-via-image-sent-to-device/
