Phát hiện lỗ hổng trong tính năng quét QR code của ứng dụng máy ảnh iOS có thể bị khai thác để chuyển hướng người dùng đến một trang web độc hại mà họ không biết.

Phát hiện lỗ hổng trong tính năng quét QR code của Apple iOS 11
Tính năng quét QR code của Apple iOS 11 chuyển hướng người dùng đến site độc hại

Lỗ hổng này nằm trong bộ đọc QR code và ảnh hưởng đến hệ điều hành iOS 11 mới nhất của Apple dành cho các thiết bị iPhone, iPad và iPod touch.

Với iOS 11, Apple giới thiệu một tính năng mới đến người dùng đó là khả năng tự động đọc QR code bằng ứng dụng máy ảnh gốc của iPhone mà không yêu cầu ứng dụng đọc QR code của bên thứ ba.

Bạn chỉ cần mở ứng dụng máy ảnh trên iPhone hoặc iPad và chọn QR code. Nếu code chứa bất kỳ URL nào, nó sẽ cung cấp cho bạn thông báo với địa chỉ liên kết, yêu cầu bạn nhấn để truy cập vào URL đó trong trình duyệt Safari.

Tuy nhiên, nhà nghiên cứu bảo mật Roman Mueller phát hiện rằng “bạn có thể không ghé thăm URL được hiển thị cho bạn”.

Theo Mueller, trình phân tích cú pháp URL của trình đọc QR code tích hợp cho ứng dụng camera của iOS không phát hiện được tên máy chủ trong URL, điều này cho phép những kẻ tấn công vận dụng URL được hiển thị trong thông báo, lừa người dùng ghé thăm các trang web độc hại.

Phát hiện lỗ hổng trong tính năng quét QR code của Apple iOS 11
QR code chuyển hướng người dùng đến site độc hại

Đối với bản demo, nhà nghiên cứu đã tạo ra một mã QR (hiển thị ở trên) với URL sau:

https://xxx\@facebook.com:443@infosec.rm-it.de/

Nếu bạn quét QR code trên bằng ứng dụng máy ảnh iOS, nó sẽ hiển thị thông báo sau:

Mở “facebook.com” trong Safari

Khi bạn nhấn vào nó để mở site, thì thay vào đó nó sẽ mở ra:

https://infosec.rm-it.de/

Tôi đã thử nghiệm lỗ hổng trong tính năng quét QR code (được thể hiện trong ảnh chụp màn hình ở trên) trên iPhone X chạy iOS 11.2.6 của tôi và nó đã chuyển hướng đến một site độc hại.

QR code (Phản hồi nhanh – Quick Response) là một cách nhanh chóng và thuận tiện để chia sẻ thông tin, nhưng vấn đề trở nên đặc biệt nguy hiểm hơn khi người dùng dựa vào QR code để thực hiện thanh toán nhanh hoặc mở các trang web ngân hàng, bởi vì tại đó họ có thể kết thúc bằng việc đưa thông tin đăng nhập cá nhân cho các website lừa đảo.

Nhà nghiên cứu đã báo cáo lỗ hổng trong tính năng quét QR code cho Apple trong tháng 12 năm ngoái, nhưng Apple vẫn chưa sửa lỗi cho đến nay.

Bình luận