iOS 15 gặp lỗi truy cập ứng dụng Notes không cần mở khóa màn hình

Theo AppleInsider, phát hiện bởi nhà nghiên cứu Jose Rodriguez, lỗ hổng hoạt động trên iOS 15 tiết lộ trong một video được đăng lên kênh YouTube của Rodriguez vào đầu tuần.

Để vượt qua màn hình khóa của iPhone mục tiêu, trước tiên Rodriguez yêu cầu Siri bật VoiceOver và điều hướng đến Notes trong Control Center. Sau đó, một trường ghi chú mới được hiển thị mà không có nội dung người dùng nào được tiết lộ.

ios 15 gap loi truy cap ung dung notes khong can mo khoa man hinh hinh 1

Lỗ hổng xảy ra với nhiều iPhone chạy iOS 15. Ảnh: TL

Quay trở lại Control Center, Rodriguez chọn và mở đồng hồ bấm giờ, và sau khi kiểm tra tài chính, có thể chọn ứng dụng Notes đã mở trước đó qua VoiceOver. Tuy nhiên, thay vì ghi chú trống, iOS cấp quyền truy cập vào cơ sở dữ liệu Notes bao gồm nội dung đã lưu, trong trường hợp mẫu bao gồm ghi chú có văn bản, bản ghi âm, liên kết HTML, thẻ liên hệ... VoiceOver sau đó được sử dụng để chọn và sao chép ghi chú trước khi xuất sang iPhone thứ hai.

Rodriguez cho biết việc khai thác không hoạt động với các ghi chú được bảo vệ bằng mật mã. Bên cạnh đó, để khai thác lỗ hổng thì kẻ tấn công cần phải được cấp quyền truy cập vào iPhone của nạn nhân. Thiết bị cũng phải được kích hoạt Siri, Control Center có sẵn trên màn hình khóa, ứng dụng Notes và Clock có trong Control Center. Số điện thoại của nạn nhân cũng phải được biết.

ios 15 gap loi truy cap ung dung notes khong can mo khoa man hinh hinh 2

Lỗ hổng cho phép người lạ có thể vượt qua màn hình khóa iPhone để truy cập các ghi chú. Ảnh: TL

Rodriguez cho biết bản thân công bố lỗ hổng này thay vì báo cáo nó thông qua chương trình Bug Bounty của Apple vì ông hy vọng sẽ làm sáng tỏ những khó khăn với cách khai thác lỗ hổng. Ngoài các khoản thanh toán thấp, nhà nghiên cứu cho biết Apple có thể mất nhiều tháng để phản hồi và chứng thực các hồ sơ.

Trước đó, Apple đã trao cho Rodriguez 25.000 USD vì đã phát hiện ra lỗ hổng mã CVE-2021-1835, một phương pháp bỏ qua màn hình khóa khác cho phép truy cập vào nội dung Notes. Apple đã giới hạn khoản thanh toán ở mức tối đa 100.000 USD cho lỗ hổng dạng trích xuất một phần dữ liệu nhạy cảm như vậy. Đối với lỗ hổng cho phép truy cập vào dữ liệu được bảo mật, khoản thanh toán cao nhất mà Apple trao sẽ là 250.000 USD.

Người dùng có thể chống lại phương pháp khai thác của Rodriguez đó là vô hiệu hóa Siri hoặc hạn chế quyền truy cập màn hình khóa vào Control Center trong cài đặt Face ID & Passcode.

Xem thêm

Ý điều tra công ty âm nhạc AI Suno

Ý điều tra công ty âm nhạc AI Suno

(CLO) Cơ quan chống độc quyền của Ý đã mở cuộc điều tra đối với Suno, công ty phát triển nền tảng tạo nhạc bằng AI, do nghi ngờ một số điều khoản dịch vụ có thể gây bất lợi cho người tiêu dùng.

Na Uy đề xuất cấm tạm thời kính AI tại nơi công cộng

Na Uy đề xuất cấm tạm thời kính AI tại nơi công cộng

(CLO) Chính phủ Na Uy ngày 5/10 cho biết đang lên kế hoạch đề xuất lệnh cấm tạm thời sử dụng một số loại kính thông minh có camera và AI tại những nơi công cộng. Động thái này xuất phát từ lo ngại công nghệ mới có thể xâm phạm quyền riêng tư của người dân.

Cựu kỹ sư OpenAI cảnh báo các công ty AI chưa đủ an toàn

Cựu kỹ sư OpenAI cảnh báo các công ty AI chưa đủ an toàn

(CLO) Một cựu kỹ sư an toàn của OpenAI cảnh báo các công ty trí tuệ nhân tạo (AI) đang phát triển công nghệ quá nhanh và chưa áp dụng các biện pháp an toàn cần thiết, chỉ vài ngày sau khi Tổng thống Mỹ Donald Trump công bố thỏa thuận tự nguyện với 6 công ty AI lớn.

Nhật Bản lần đầu bảo vệ giọng nói con người trước sự sao chép của AI

Nhật Bản lần đầu bảo vệ giọng nói con người trước sự sao chép của AI

(CLO) Xác lập tiền lệ pháp lý quan trọng về bản quyền trong kỷ nguyên số, Tòa án Tokyo lần đầu tiên công nhận giọng nói của một cá nhân được bảo hộ theo quyền khai thác thương mại hình ảnh và danh tiếng, sau phán quyết trong vụ kiện liên quan đến hành vi dùng AI giả lập giọng của diễn viên lồng tiếng nổi tiếng Kenjiro Tsuda.

Chính phủ Mỹ cho ra mắt cổng thông tin tích hợp AI

Chính phủ Mỹ cho ra mắt cổng thông tin tích hợp AI

(CLO) Ngày 29/9, Tổng thống Mỹ Donald Trump đã chính thức công bố nền tảng kỹ thuật số America.gov, đánh dấu một bước tiến quan trọng trong việc ứng dụng trí tuệ nhân tạo vào dịch vụ công tại nước này.

Cỡ chữ bài viết: