Bốn lỗ hổng nghiêm trọng cao đã được tiết lộ trong một khuôn khổ được sử dụng bởi các ứng dụng Hệ thống Android được cài đặt sẵn với hàng triệu lượt tải xuống.
Các vấn đề, hiện đã được nhà phát triển MCE Systems của Israel khắc phục, có thể có khả năng cho phép các tác nhân đe dọa thực hiện các cuộc tấn công từ xa và cục bộ hoặc bị lạm dụng làm vectơ để lấy thông tin nhạy cảm bằng cách tận dụng các đặc quyền hệ thống mở rộng của họ.
Nhóm nghiên cứu Microsoft 365 Defender nói trong một báo cáo được công bố vào thứ Sáu.
Các điểm yếu, từ tiêm lệnh đến leo thang đặc quyền cục bộ, đã được chỉ định các số nhận dạng CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 và CVE-2021-42601, với điểm CVSS từ 7,0 đến 8,9.
Mã khai thác bằng chứng khái niệm (POC) tiêm lệnh
Chèn một mã JavaScript tương tự vào WebView
Các lỗ hổng được phát hiện và báo cáo vào tháng 9 năm 2021 và không có bằng chứng cho thấy các lỗ hổng đang được khai thác trong tự nhiên.
Microsoft đã không tiết lộ danh sách đầy đủ các ứng dụng sử dụng khung dễ bị tấn công, được thiết kế để cung cấp cơ chế tự chẩn đoán để xác định và khắc phục các sự cố ảnh hưởng đến thiết bị Android.
Điều này cũng có nghĩa là khuôn khổ có các quyền truy cập rộng rãi, bao gồm cả quyền truy cập âm thanh, camera, nguồn điện, vị trí, dữ liệu cảm biến và bộ nhớ, để thực hiện các chức năng của nó. Cùng với các vấn đề được xác định trong dịch vụ, Microsoft cho biết họ có thể cho phép kẻ tấn công cấy ghép các cửa hậu liên tục và chiếm quyền kiểm soát.
Ngoài ra, Microsoft cũng khuyến cáo người dùng nên chú ý đến gói ứng dụng “com.mce.mceiotraceagent” – một ứng dụng có thể đã được các cửa hàng sửa chữa điện thoại di động cài đặt – và xóa nó khỏi điện thoại nếu tìm thấy.
Các ứng dụng nhạy cảm, mặc dù được cài đặt sẵn bởi các nhà cung cấp điện thoại, cũng có sẵn trên Cửa hàng Google Play và được cho là đã vượt qua kiểm tra an toàn tự động của cửa hàng ứng dụng mà không gây ra bất kỳ dấu hiệu đỏ nào vì quy trình không được thiết kế để tìm ra những vấn đề này , một cái gì đó đã được sửa chữa.
.
