Theo các nhà nghiên cứu, các thành phần xử lý đa phương tiện là một trong những bề mặt tấn công nguy hiểm nhất hiện nay trong bất kỳ hệ điều hành nào. Apple cần theo cách thức mà Google và Mozilla thực hiện và bảo mật các thư viện xử lý đa phương tiện.
Khi nói đến việc quản lý các tập tin đa phương tiện, tất cả các hệ điều hành đều hoạt động như nhau. Bất kỳ tập tin đa phương tiện mới nào - hình ảnh, âm thanh, video - gửi đến các thiết bị sẽ tự động được chuyển đến thư viện hệ điều hành cục bộ để phân tích tập nhằm biết tập tin gì và phải xử lý tiếp theo như thế nào.
Từ quan điểm của kẻ tấn công, các lỗi trong các thành phần xử lý đa phương tiện là bề mặt tấn công lý tưởng. Tất cả những gì kẻ tấn công phải làm là tìm cách gửi một tập tin đa phương tiện không đúng định dạng đến một thiết bị, đợi cho đến khi tập tin được xử lý và mã khai thác kích hoạt.
Trong thế giới kết nối ngày nay, việc trao đổi hình ảnh và video là một trong những tương tác phổ biến nhất của người dùng. Theo đó, việc ẩn mã độc bên trong hình ảnh được gửi qua tin nhắn SMS, email hoặc chat trò chuyện (IM) là một cách thức dễ dàng để tấn công các mục tiêu.
Chính vì thế, các lỗ hổng trong các thành phần xử lý đa phương tiện hiện đang được tin tặc tìm kiếm nhiều nhất, vì chúng cho phép một vectơ xâm nhập âm thầm, không cần nhấp chuột (zero click) và không phải tương tác người dùng.
Nghiên cứu Image I/O của Google
Trong một báo cáo vừa được công bố, Project Zero, nhóm săn tìm lỗi nổi bật của Google, cho biết một trong các thành phần xử lý đa phương tiện của Apple rất có thể là bề mặt tấn công hấp dẫn đối với bất kỳ tin tặc nào để thực hiện tấn công người dùng Apple.
Cụ thể hơn, các nhà nghiên cứu của nhóm Project Zero đã xem xét hình ảnh đầu ra/đầu vào (Image I/O), một khung được tích hợp trong tất cả các hệ điều hành của Apple và có tác vụ phân tích cú pháp và làm việc với các tập hình ảnh.
Do vai trò trung tâm của khung này đối với toàn bộ hệ sinh thái ứng dụng của Apple, Image I/O là một bề mặt tấn công nguy hiểm vốn khả thi cho một vectơ xâm nhập zero click dành cho bất kỳ kẻ tấn công nào và cần phải an toàn nhất có thể trước các khai thác.
Làm mờ hình ảnh I/O tìm ra được hơn 6 lỗi
Nhóm Project Zero của Google cho biết họ đã sử dụng một kỹ thuật gọi là "làm mờ" (fuzzing) để kiểm tra cách Image I/O xử lý các tệp hình ảnh không đúng định dạng. Quá trình làm mờ đã cung cấp đầu vào Image I/O bất ngờ để phát hiện các bất thường và các điểm nhập vào tiềm năng cho các cuộc tấn công trong tương lai trong mã của khung.
Các nhà nghiên cứu cho biết họ đã xác định được 6 lỗ hổng trong Image I/O và 8 lỗ hổng khác trong OpenEXR, một thư viện nguồn mở để phân tích các tệp hình ảnh EXR được gửi dưới dạng thành phần của bên thứ ba cùng với Image I/O.
Google cho biết không có lỗ hổng nào nào trong số các lỗ hổng này và mã khai thác bằng chứng (POC) mà họ phát triển đều có thể được sử dụng để chiếm quyền các thiết bị, nhưng Google đã không xem xét vấn đề này, vì đây không phải là mục đích công việc của Google.
Samuel Groß, một nhà nghiên cứu bảo mật cùng với nhóm Project Zero cho biết: "Có khả năng, với nỗ lực vừa đủ (và các nỗ lực khai thác được thực hiện do tự động khởi động lại dịch vụ), một số lỗ hổng được tìm thấy có thể được khai thác cho thực thi mã từ xa (RCE) trong kịch bản tấn công nhấp chuột".
Nhóm nghiên cứu cho biết tất cả các lỗi hiện đã được sửa. 6 lỗi về hình ảnh I/O, đã được các bản cập nhật bảo mật vào tháng 1 và tháng 4 năm nay, trong khi các lỗi OpenEXR đã được vá trong phiên bản 4.1.
Cần có nghiên cứu thêm về bề mặt tấn công zero-click của Apple
Tuy nhiên, Groß cho biết những phát hiện của nhóm nghiên cứu mới chỉ là khởi đầu của nhiều nghiên cứu về Image I/O và phần còn lại của các cấu phần xử lý hình ảnh và đa phương tiện của Apple, tất cả đều là bề mặt tấn công nhấp chuột hấp dẫn để phát triển các cuộc tấn công nhấp chuột tiềm năng chống lại người dùng Apple và các thiết bị.
Groß trao đổi bước đầu tiên mà Apple nên tiến hành là tiếp tục nghiên cứu về việc làm mờ mã hình ảnh I/O, vì việc nghiên cứu của ông chưa thể hoàn chỉnh do thiếu khả năng hiển thị và truy cập vào mã nguồn của khung.
"Làm mờ kỹ lưỡng, trong mọi trường hợp, luôn được các nhà bảo trì thực hiện tốt nhất với quyền truy cập mã nguồn" Groß cho hay.
Về lâu dài, các giải pháp giảm thiểu phức tạp hơn cũng có thể được thực hiện. Groß cho biết đơn giản nhất là cung cấp cho các nhà phát triển ứng dụng khả năng hạn chế loại định dạng hình ảnh có thể được xử lý thông qua ứng dụng của họ thông qua Image I/O, một tính năng bảo mật sẽ ngăn các định dạng tệp hình ảnh kỳ lạ chuyển mã độc sang Image I/O ở nơi đầu tiên.
Về lâu dài, Apple cũng nên xem xét củng cố các thành phần xử lý đa phương tiện khác, tương tự như cách Google và Mozilla đã làm cho Android và Firefox.
Ví dụ, sau khi phát hiện ra lỗ hổng Stagefright, Google đã chia thành phần MediaServer thành các thư viện nhỏ hơn, được bảo vệ bởi các quyền truy cập khác nhau, khiến việc xâm phạm vào các thiết bị khó có thể thực hiện.
Tương tự, khi Mozilla bắt đầu tích hợp mã Rust bên trong Firefox, thành phần đầu tiên được viết lại bằng ngôn ngữ lập trình mà bảo mật là công việc được ưu tiên đầu tiên, đó là ngăn xử lý đa phương tiện, cho thấy chính xác thành phần này quan trọng như thế nào đối với toàn bộ mô hình bảo mật của Firefox.
Với số lượng các nhà cung cấp phần mềm gián điệp và theo dõi đang ngày càng gia tăng trên toàn thế giới, nhiều công ty trong số này hiện đang xem xét các cách thức dễ dàng để xâm nhập các hệ thống của Apple và hiện tại, các thư viện xử lý đa phương tiện dường như là con đường rõ ràng để xâm nhập nhất. Tuy nhiên, để xâm nhập được cũng không phải dễ dàng.
