CISA đã bổ sung CVE-2024-27834 của Apple vào danh mục Các lỗ hổng đã bị khai thác (KEV) sau các báo cáo về việc khai thác tích cực. Lỗ hổng này là một bypass xác thực con trỏ, và các cuộc tấn công được báo cáo sử dụng nó để phát tán phần mềm độc hại đánh cắp thông tin. Chi tiết quan trọng là Apple đã vá lỗi này từ năm 2024. Nếu thiết bị của bạn đang được cập nhật, rủi ro thực tế là thấp. Nếu không, việc cài đặt bản cập nhật chống phần mềm đánh cắp thông tin cho CVE-2024-27834 của Apple là việc hữu ích nhất bạn có thể làm hôm nay.
CISA nói gì về CVE-2024-27834
Danh mục KEV của CISA là danh sách các lỗ hổng được biết là bị khai thác trong các cuộc tấn công thực tế. Các mục trong danh sách báo hiệu rằng một lỗ hổng đã chuyển từ rủi ro lý thuyết sang mối đe dọa thực tế, đó là lý do cơ quan này sử dụng danh sách để thúc đẩy các tổ chức vá lỗi nhanh chóng. Việc bổ sung CVE-2024-27834 diễn ra sau các báo cáo về những cuộc tấn công phát tán phần mềm độc hại đánh cắp thông tin.
Lỗ hổng này là một bypass xác thực con trỏ. Xác thực con trỏ là một biện pháp bảo vệ khiến kẻ tấn công khó can thiệp hơn vào cách mã chạy trong bộ nhớ, vì vậy một bypass sẽ làm suy yếu một lớp phòng thủ. Theo Cơ sở dữ liệu Lỗ hổng Quốc gia, Apple đã xử lý vấn đề bằng các kiểm tra được cải thiện. Ghi chú bảo mật Safari 17.5 của Apple liệt kê lỗ hổng này là vấn đề WebKit và ghi nhận công lao của Manfred Paul, làm việc với Zero Day Initiative của Trend Micro. Mục NVD có ngày 14 tháng 5 năm 2024, và liệt kê các bản vá trong Safari 17.5, iOS 16.7.8 và iPadOS 16.7.8, cùng iOS 17.5 và iPadOS 17.5, trong số các bản phát hành khác.
Tóm lại, đây không phải là một lỗ hổng hoàn toàn mới. Đây là một lỗ hổng cũ đã được vá mà kẻ tấn công vẫn thấy hữu ích.
Phần mềm đánh cắp thông tin lấy gì và tại sao các lỗ hổng đã vá vẫn bị khai thác
Phần mềm đánh cắp thông tin là loại phần mềm độc hại được tạo ra để âm thầm thu thập dữ liệu từ thiết bị bị nhiễm và gửi đến kẻ tấn công. Tùy theo biến thể, các mục tiêu thường bao gồm mật khẩu đã lưu, dữ liệu trình duyệt và thông tin phiên. Bài viết gốc không nêu chi tiết chính xác chiến dịch này lấy những gì, vì vậy hãy coi đó là mô tả chung về loại phần mềm độc hại này thay vì một phát hiện về cuộc tấn công cụ thể này.
Tại sao kẻ tấn công lại bận tâm đến một lỗ hổng đã được vá từ lâu? Bởi vì việc vá lỗi không đồng đều. Điện thoại, máy tính bảng và máy Mac cũ vẫn không được cập nhật trong nhiều tháng hoặc nhiều năm, dù là do mọi người trì hoãn các lời nhắc, thiết bị được dùng chung, hay phần cứng không còn chạy được phần mềm mới nhất. Kẻ tấn công biết rằng có bản vá không giống với việc bản vá đã được cài đặt. Một khai thác đã biết, đáng tin cậy nhắm vào các thiết bị chưa được vá sẽ rẻ hơn so với việc phát triển một khai thác mới.
Mô thức này quen thuộc trong toàn ngành. Phần mềm đáng tin cậy và thói quen cập nhật đáng tin cậy mới là chiến trường thực sự, như chúng ta đã thấy khi một lỗ hổng zero-day biến một công cụ bảo mật của ngân hàng Hàn Quốc thành vũ khí. Phần mềm mà mọi người dựa vào để đảm bảo an toàn có thể trở thành con đường xâm nhập khi nó không được kiểm soát.
Cách bảo vệ iPhone và iPad của bạn ngay bây giờ: bản cập nhật chống phần mềm đánh cắp thông tin cho CVE-2024-27834 của Apple
Bản vá rất đơn giản và chỉ mất vài phút.
- Mở Cài đặt, sau đó Cài đặt chung, rồi Cập nhật phần mềm. Cài đặt bất cứ bản cập nhật nào được cung cấp. Chuyển lên bản phát hành mới nhất có sẵn cho thiết bị của bạn tốt hơn là dừng lại ở phiên bản tối thiểu đã vá lỗi này, vì các bản cập nhật sau mang theo các bản vá bảo mật khác.
- Bật cập nhật tự động. Trong cùng menu đó, hãy bật cài đặt tự động để các bản vá trong tương lai đến mà bạn không cần phải nhớ.
- Cập nhật Safari và máy Mac của bạn nữa. Mục NVD liệt kê Safari và macOS trong số các sản phẩm bị ảnh hưởng, vì vậy hãy kiểm tra Cài đặt Hệ thống trên bất kỳ máy Mac nào bạn sử dụng.
- Kiểm tra các thiết bị cũ. Nếu một iPhone hoặc iPad không còn có thể nhận được phiên bản chính mới nhất, hãy xem liệu nó có bản cập nhật bảo mật cho phiên bản của chính nó hay không. Apple đã phát hành iOS 16.7.8 và iPadOS 16.7.8 cho phần cứng cũ hơn. Nếu một thiết bị không còn nhận được bản cập nhật nào nữa, hãy cân nhắc loại bỏ nó khỏi các tác vụ nhạy cảm như ngân hàng.
VPN giúp ích ở đâu và không giúp ích ở đâu
VPN mã hóa lưu lượng của bạn giữa thiết bị và máy chủ VPN, đồng thời ẩn địa chỉ IP của bạn khỏi các trang web bạn truy cập. Điều đó hữu ích trên Wi-Fi công cộng và cho quyền riêng tư nói chung. Nó không phải là một bản vá.
Lỗ hổng này nằm ở cách phần mềm của Apple xử lý mã trên thiết bị của bạn. VPN không sửa chữa điều đó, và nó không ngăn được phần mềm độc hại đang chạy đọc dữ liệu được lưu trữ cục bộ. Nếu một phần mềm đánh cắp thông tin xâm nhập được vào một thiết bị chưa được vá, đường hầm mà lưu lượng của bạn đi qua sẽ không ngăn nó thu thập những gì có trên thiết bị. Một số ứng dụng VPN có tính năng chặn liên kết hoặc chặn phần mềm độc hại tùy chọn, nhưng các tính năng đó khác nhau và không nên thay thế việc cập nhật.
Hãy coi VPN là một lớp riêng tư, và bản cập nhật phần mềm là lớp thực sự đóng cánh cửa cụ thể này.
Điều này có nghĩa gì với bạn
Nếu các thiết bị Apple của bạn được cập nhật đầy đủ, bạn được bảo vệ khỏi lỗ hổng cụ thể này, và việc CISA liệt kê nó chủ yếu là một lời nhắc nhở. Nếu bạn đã bỏ qua các lời nhắc cập nhật, đây là lý do chính đáng để dừng lại. Bài học quan trọng hơn là về thông tin đăng nhập bị đánh cắp. Phần mềm đánh cắp thông tin nguy hiểm vì dữ liệu chúng lấy có thể được tái sử dụng trên các tài khoản khác, vì vậy thói quen bảo mật tài khoản tốt sẽ hạn chế thiệt hại ngay cả khi có thứ gì đó lọt qua.
Những điểm chính cần ghi nhớ
- Cập nhật ngay hôm nay. Cài đặt các bản cập nhật iOS, iPadOS, macOS và Safari mới nhất và bật cập nhật tự động. Đây là bước cốt lõi của bản cập nhật chống phần mềm đánh cắp thông tin cho CVE-2024-27834 của Apple.
- Sử dụng mật khẩu duy nhất cho mỗi tài khoản, lý tưởng nhất là thông qua trình quản lý mật khẩu, để một thông tin đăng nhập bị đánh cắp không mở khóa được các tài khoản khác.
- Bật xác thực hai yếu tố ở bất cứ nơi nào được cung cấp, đặc biệt là cho email, ngân hàng và tài khoản Apple của bạn.
- Đừng dựa vào VPN để sửa một lỗ hổng phần mềm. Hãy giữ nó cho những gì nó làm tốt, như bảo vệ lưu lượng trên các mạng không đáng tin cậy.
- Hãy hoài nghi với các công cụ đáng tin cậy. Bài viết của chúng tôi về lỗ hổng zero-day AnySign4PC là một ví dụ khác về phần mềm quen thuộc trở thành vectơ tấn công.
Hãy kiểm tra các thiết bị Apple của bạn ngay bây giờ, cài đặt các bản cập nhật đang chờ, và dành mười phút để xem xét bảo mật tài khoản của bạn. Đó là phản ứng hiệu quả nhất đối với cảnh báo của CISA.
