Theo hãng bảo mật Trend Micro, lỗ hổng đầu tiên - CVE-2016-3117, là một đặc quyền trong dịch vụ Android LG - LGATCMDService, được sử dụng bởi phần mềm LG để kết nối các thiết bị di động với máy tính. Dịch vụ này không được bảo vệ bởi bất kỳ ràng buộc nào, có nghĩa là bất kỳ ứng dụng nào cũng có thể kết nối với nó bất kể nguồn gốc hoặc quyền hạn.
Bằng cách khai thác lỗ hổng bảo mật này, tin tặc có thể đọc và ghi đè mã nhận dạng thiết bị di động số (IMEI) từ xa, khởi động lại và xóa sạch nội dung của các thiết bị, vô hiệu hóa kết nối USB hoặc thậm chí hoàn toàn hủy diệt thiết bị.
Lỗ hổng thứ hai - CVE-2016-2035, là một lỗi nằm trong việc phần WAP Push của LG, sử dụng một loại tin nhắn văn bản có chứa URL để các trang web phải thông qua trình duyệt WAP (Wireless Action Protocol) của người dùng. Thông qua đó, lỗ hổng SQL được tiêm nhiễm vào, cho phép tin tặc gửi tin nhắn đến các thiết bị, sửa đổi hoặc thậm chí xóa các tin nhắn văn bản được lưu trữ trên thiết bị.
Theo cảnh báo từ các chuyên gia bảo mật Trend Micro, để phòng tránh sự tấn công thông qua các lỗ hổng bảo mật này, người dùng thiết bị LG G3 không nên nhấn vào các liên kết lạ trên máy. Ngoài ra, không nên thực hiện việc mở quyền cài đặt các ứng dụng từ các bên thứ ba, mà chỉ cài ứng dụng từ Google Play.
Trong một động thái mới nhất, LG tiến hành cung cấp bản vá lỗi bảo mật nói trên cho chiếc LG G3, và cũng khuyến khích người dùng nên cập nhật bản vá lỗi mới để tránh bị tin tặc tấn công.
Bình luận (0)