Chỉ cần người dùng nhấn vào một đường link độc hại, hacker sẽ ngay lập tức chiếm được quyền truy cập vào camera (trên điện thoại iPhone) hoặc webcam (trên máy tính Mac) của bạn.
Nếu bạn đang sử dụng máy tính Mac để làm việc tại nhà hoặc kết nối với bạn bè trong mùa dịch qua chiếc điện thoại iPhone, bạn nên cân nhắc cài đặt bản cập nhật phần mềm mới nhất. Nhà nghiên cứu an ninh Ryan Pickren mới đây đã tiết lộ thông tin chi tiết về những lỗ hổng an ninh (CVE-2020-3885, CVE-2020-3887, CVE-2020-9784) mới được vá của trình duyệt Safari phiên bản Safari 13.0.4, cho phép kẻ tấn công truy cập trái phép vào camera và micro của các thiết bị iOS và macOS.
Một trang web độc hại được thiết kế nhắm vào lỗ hổng này có thể “đánh lừa” Safari rằng trang web này đã được cấp quyền truy cập vào camera và mic của máy tính. Kẻ tấn công chỉ cần kết hợp giữa một trang web độc hại và các đoạn mã để “làm mồi nhử và bẫy” người dùng là đã có thể khai thác được lỗ hổng này.
Cụ thể, các lỗ hổng được cấu thành từ những lỗi nhỏ trong cách Safari phân tích cú pháp Định dạng tài nguyên thống nhất URI (bao gồm URL/địa chỉ web), trong cách quản lý cổng và nguồn gốc web (được xác định bởi giao thức và tên miền web sử dụng) hay trong cách Safari tạo kết nối an toàn (thông qua HTTPS/TLS).
Kẻ tấn công có thể tận dụng các lỗi này bằng cách tạo một URL đặc biệt sử dụng các tập lệnh được nhúng trong một trang web độc hại. URL có thể đánh lừa Safari nghĩ rằng một trang web do kẻ tấn công kiểm soát nằm trong kết nối an toàn của một trang web đáng tin cậy, như Zoom hoặc Skype. Safari sau đó sẽ cung cấp cho những kẻ tấn công quyền truy cập webcam thông qua API WebDevices.
Khai thác thành công, kẻ tấn công có thể ghi lại hình ảnh, âm thanh và nghe lén người dùng một cách âm thầm. Điều này càng nguy hiểm hơn trong bối cảnh đại dịch Covid-19 đang hoành hành trên khắp thế giới và có ngày càng nhiều người phụ thuộc vào webcam của máy tính để tham gia các buổi họp và lớp học trực tuyến.
Apple đã khắc phục lỗ hổng này khá nhanh sau khi lần đầu tiên phát hiện vào tháng 12 năm ngoái. Bản vá được tung ra vào tháng 1 và tháng 3 của năm nay. Pickren cho hay các bản vá đã “đụng chạm” đến những thành phần “rất, rất cũ” có trong WebKit (bộ dựng trang của Safari), tuy nhiên, chúng được ưu tiên xử lý nhanh bởi mức độ nguy hiểm trong thời điểm hiện tại. Nói cách khác, người iOS và Mac có thể trở thành nạn nhân bởi những kẻ tấn công đang tích cực khai thác những lỗ hổng này.
Để tránh bị ảnh hưởng, người dùng được khuyến cáo cần cài đặt bản vá cho iOS/macOS càng sớm càng tốt.
