Vào ngày 6/5, Samsung đã tung ra bản vá bảo mật khắc phục lỗ hổng trên các smartphone Samsung chạy Android khi xử lý định dạng ảnh Qmage (.qmg). Samsung cho biết định dạng này được hỗ trợ trên tất cả thiết bị ra mắt từ cuối năm 2014.
Mateusz Jurczyk, nhà nghiên cứu bảo mật thuộc Google cho biết nhóm của ông đã tìm ra cách khai thác lỗ hổng, có thể giúp hacker truy cập dữ liệu smartphone mà không cần một thao tác nào từ phía người dùng.
 |
| Định dạng này đã được Samsung hỗ trợ từ năm 2014, trên những điện thoại như Samsung Galaxy S6. Ảnh: The Verge. |
Trong thí nghiệm chứng minh lỗ hổng, ông Jurczyk cho biết kẻ tấn công chỉ cần gửi khoảng 50-300 tin nhắn MMS để có thể xâm nhập điện thoại của người dùng. Mặc dù con số là khá lớn, trong thực tế một vụ tấn công có thể diễn ra mà người dùng hoàn toàn không hay biết.
"Tôi đã tìm ra cách gửi tin nhắn MMS mà không hề tạo ra thông báo trên Android, do vậy một vụ tấn công hoàn toàn bí mật là có thể làm được", ông Jurczyk nói với ZDnet.
Tuy thí nghiệm chứng minh lỗ hổng sử dụng giao thức MMS và ứng dụng tin nhắn mặc định để thực thi, chuyên gia bảo mật này cho biết hacker có thể dùng bất cứ ứng dụng nào có khả năng xử lý định dạng Qmage để tấn công thiết bị.
Dù lỗ hổng đã tồn tại từ năm 2014, tới tháng 1 vừa qua nhóm nghiên cứu bảo mật của Google mới tìm ra nguy cơ này và thông báo với Samsung. Hãng đã khắc phục lỗ hổng trong bản vá bảo mật phát hành vào tuần này, nhưng thời điểm từng thiết bị nhận được bản cập nhật phần mềm đi kèm bản vá bảo mật sẽ tùy thuộc vào chính sách cập nhật phần mềm.
"Tin xấu là với hệ sinh thái phân mảnh, bạn chỉ có thể chờ đợi thời điểm bản vá được phát hành. Với các thiết bị cũ thì tình hình càng tệ hơn. Nếu chiếc Galaxy của bạn đã cũ đến mức chỉ nhận cập nhật bản vá theo quý, thì liệu nó có còn nhận được cập nhật bảo mật quan trọng này không", phóng viên Davey Winder của Forbes nêu quan điểm.
Theo ZDnet, smartphone của các hãng khác không gặp vấn đề này, vì nó xuất phát từ cách xử lý định dạng Qmage trên hệ điều hành do Samsung tùy biến.