Cụ thể, trong Bản tin bảo mật tháng 01/2024 của Qualcomm đã liệt kê tổng cộng 26 lỗ hổng, trong đó có 4 lỗ hổng nghiêm trọng, ảnh hưởng đến chipset Qualcomm. Các bản vá lỗi đã được cung cấp cho các nhà sản xuất thiết bị gốc (OEM) có thiết bị sử dụng chip Qualcomm, bao gồm cả các thiết bị thuộc dòng Snapdragon phổ biến.
Lỗ hổng nghiêm trọng của Qualcomm gây rủi ro khi nhận cuộc gọi qua LTE
Theo Qualcomm, lỗi nghiêm trọng nhất là CVE-2023-33025, có điểm CVSS là 9,8. Lỗ hổng này liên quan đến lỗ hổng tràn bộ đệm dẫn đến lỗi bộ nhớ trong modem dữ liệu, xảy ra trong các cuộc gọi thoại qua LTE (VoLTE) khi nội dung Giao thức mô tả phiên (Session Description Protocol - SDP) không ở định dạng chuẩn.
Giao thức SDP thường giúp tạo điều kiện kết nối giữa hai thiết bị cho một phiên liên lạc, chẳng hạn như cuộc gọi VoLTE, bằng cách cung cấp thông tin phiên, phương tiện, thời gian và mạng nhất định ở định dạng chuẩn. Nếu kẻ tấn công từ xa có thể thao túng SDP bằng nội dung của chính chúng và bắt đầu cuộc gọi mà trong đó SDP độc hại được xử lý bởi modem dữ liệu của thiết bị nhận, thì kẻ tấn công có thể lợi dụng lỗi bộ nhớ trong modem để thực thi mã từ xa.
Người phát ngôn của Qualcomm cho rằng việc khai thác như vậy có thể sẽ gặp khó khăn vì các tin tặc cần có quyền kiểm soát chính mạng LTE để cuộc tấn công có thể hoạt động. Vì vậy, người dùng nên chỉ kết nối với mạng LTE an toàn, đáng tin cậy.
Lỗ hổng CVE-2023-33025 ảnh hưởng đến 20 chipset Qualcomm, bao gồm các nền tảng di động Snapdragon 680 và Snapdragon 685 4G. Những con chip này được sử dụng trong nhiều loại điện thoại thông minh và máy tính bảng, bao gồm cả các mẫu thuộc dòng sản phẩm Samsung Galaxy, Motorola Moto và Huwei Enjoy và Nova. Ngoài ra, Modem Snapdragon X65 5G mới và hệ thống RF Modem Snapdragon X70 cũng bị ảnh hưởng. Các OEM lần đầu tiên đã được thông báo về lỗ hổng này vào ngày 7/7/2023.
Các lỗi bảo mật nghiêm trọng khác
Ba lỗ hổng truy cập cục bộ cũng được coi là nghiêm trọng, bao gồm 1 lỗ hổng có thể gây ra tấn công từ chối dịch vụ (DoS) và 2 lỗ hổng khác dẫn đến hỏng bộ nhớ.
Lỗ hổng CVE-2023-33036 được Qualcomm xếp hạng bảo mật quan trọng và điểm CVSS là 7,1, gây ra sự gián đoạn của phần mềm ảo hóa hypervisor. Sự cố xảy ra khi một máy ảo không đáng tin cậy không hỗ trợ Power State Coordination Interface (PSCI) gọi đến PSCI (tức là các yêu cầu liên quan đến quản lý nguồn). Lỗ hổng này ảnh hưởng đến hơn 100 chipset, trong đó có nhiều chipset thuộc dòng Snapdragon.
Lỗ hổng CVE-2023-33030 có điểm CVSS là 9,3 là một lỗi tràn bộ đệm khác dẫn đến hỏng bộ nhớ trong hệ điều hành cấp cao khi sử dụng Microsoft PlayReady. Lỗ hổng này ảnh hưởng đến hơn 200 chipset, từ chip điện thoại thông minh và máy tính cho đến các chip được sử dụng trong thiết bị đeo và các thiết bị IoT khác.
Lỗ hổng CVE-2023-33032 cũng có điểm CVSS là 9,3 và là một lỗ hổng tràn số nguyên. Lỗ hổng này liên quan đến bộ nhớ trong hệ điều hành bảo mật ARM TrustZone có thể xảy ra khi yêu cầu cấp phát bộ nhớ từ vùng ứng dụng đáng tin cậy, gây ảnh hưởng đến hơn 100 chipset Qualcomm.
Qualcomm khuyến nghị người dùng thiết bị có sử dụng chip bị ảnh hưởng nên liên hệ với nhà sản xuất thiết bị để biết thông tin về trạng thái vá lỗi và áp dụng tất cả các bản cập nhật có sẵn.
Hoàng Hằng
(Theo SCmagazine)
12:00 | 13/10/2022
07:00 | 14/03/2024
13:00 | 31/10/2024
09:00 | 25/05/2021
13:00 | 03/01/2025
09:00 | 01/02/2024
08:20 | 11/08/2016
09:00 | 13/02/2024
13:00 | 05/03/2025
Hệ thống tìm kiếm thiết bị Find My của Apple bị phát hiện tồn tại lỗ hổng nghiêm trọng, cho phép tin tặc biến bất kỳ thiết bị nào, kể cả điện thoại Android, thành một AirTag giả để theo dõi vị trí một cách lén lút. Đến nay, Apple vẫn chưa có giải pháp khắc phục đối với lỗ hổng này.
10:00 | 06/02/2025
Năm 2025 được dự báo sẽ chứng kiến sự gia tăng các cuộc tấn công mạng, với sự xuất hiện và phát triển mạnh mẽ của những phần mềm độc hại nhắm vào cả cá nhân lẫn tổ chức trên toàn cầu. Bài viết tập trung nghiên cứu và phân tích 5 mối đe dọa phần mềm độc hại hàng đầu được dự báo sẽ gây ảnh hưởng lớn nhất trong năm nay. Từ những dòng mã độc tống tiền tinh vi đến trojan đánh cắp thông tin và công cụ truy cập từ xa. Những mối đe dọa này không chỉ đặt ra thách thức lớn cho các chuyên gia an ninh mạng mà còn yêu cầu sự chuẩn bị kỹ lưỡng từ mọi tổ chức và cá nhân.
08:00 | 29/01/2025
Một chiến thuật tấn công mới đang được tin tặc sử dụng thông qua cách thức "giả mạo mô phỏng giao dịch" để đánh cắp tiền điện tử, mới đây trên ScamSniffer (trang web chuyên đăng tải các bài báo về phòng, chống lừa đảo mạng) đã công bố một vụ tấn công sử dụng hình thức này gât thiệt hại 143,45 Ethereum (ETH) với trị giá khoảng 460.000 USD.
08:00 | 16/12/2024
Ngày 3/12, Trung tâm An ninh mạng quốc gia Anh (NCSC) vừa công bố đánh giá thường niên cho thấy các cuộc tấn công mạng nghiêm trọng nhằm vào các tổ chức và công ty của nước này trong 12 tháng qua đã tăng gấp 3 lần năm 2023, trong đó có các sự cố lớn ảnh hưởng đến các bệnh viện ở London và Thư viện quốc gia Anh.
22:00 | 30/01/2025|Giải pháp khác
08:00 | 29/01/2025|Công nghệ thông tin
Ngày 17/3, Tổng thống Mexico Claudia Sheinbaum xác nhận một trong những thiết bị di động của bà đã bị tin tặc tấn công vài ngày trước, song cơ quan an ninh thông tin đã vào cuộc và vô hiệu hóa thành công cuộc tấn công này.
14:00 | 19/03/2025
