Lỗi kiểm tra tệp đính kèm của Android Telegram for Android ngụy trang ứng dụng độc hại thành video

Lỗ hổng EvilVideo cho phép gửi các ứng dụng độc hại được ngụy trang thành video trong ứng dụng Telegram cho Android, ảnh hưởng đến các phiên bản 10.14.4 và cũ hơn.

• Sản phẩm bị ảnh hưởng: vendor Android, sản phẩm Telegram for Android, package org.telegram.messenger, nền tảng Android. • Phạm vi bị ảnh hưởng theo dữ liệu CNA: các phiên bản semver từ 0 đến và bao gồm 10.14.4. Trạng thái mặc định ngoài phạm vi này là unaffected. • Bản sửa: ESET cho biết Telegram đã phát hành 10.14.5 để sửa lỗi và xác nhận rằng các phiên bản từ bản này trở lên đã xử lý việc hiển thị tệp ứng dụng như tệp video. • ESET cho biết exploit được kiểm tra không hoạt động trên Telegram Web hoặc Telegram Desktop, nhưng các client đó không được liệt kê là sản phẩm bị ảnh hưởng trong dữ liệu CNA. Các nhánh hoặc bản phân phối khác không được nêu rõ vẫn cần được xác minh riêng.

Ứng dụng Telegram for Android xử lý một tệp ứng dụng Android do kẻ tấn công kiểm soát như tệp đa phương tiện, khiến tệp hiển thị dưới dạng video thay vì tệp nhị phân. ESET cho biết payload độc hại có thể được gửi qua channel, group hoặc chat Telegram; trên client bị ảnh hưởng, tệp có thể được tự động tải xuống khi người dùng mở cuộc trò chuyện nếu tùy chọn tự động tải media đang bật. Khi người dùng thử phát video giả, Telegram hiển thị cảnh báo không thể phát và đề xuất mở bằng trình phát bên ngoài; thao tác mở tiếp theo có thể dẫn đến yêu cầu cài đặt ứng dụng độc hại và bật cài đặt ứng dụng không rõ nguồn. ESET cho rằng quá trình upload tệp đa phương tiện có thể bị lợi dụng, nhưng chi tiết triển khai chính xác của lỗi validation phía máy chủ vẫn chưa được xác lập. ESET cũng cho biết họ không thể tự tái tạo exploit mà chỉ kiểm tra và xác minh mẫu do người bán cung cấp. CWE được ghi nhận là CWE-20, Improper Input Validation.

Lỗ hổng có thể bị khai thác qua mạng bằng cách gửi một tệp đính kèm được tạo đặc biệt qua Telegram. Khai thác thực tế yêu cầu người dùng tương tác, gồm mở cuộc trò chuyện, xử lý video giả và chấp thuận cài đặt ứng dụng; ESET mô tả thêm rằng payload có thể được tự động tải xuống khi người dùng mở cuộc trò chuyện với tùy chọn tự động tải media. Các đánh giá được cung cấp không hoàn toàn thống nhất về yêu cầu đặc quyền của kẻ tấn công, vì vậy điều kiện xác thực chính xác ngoài khả năng gửi payload chưa được xác định. ESET đã ghi nhận một exploit được quảng cáo để bán và đã phân tích một mẫu, nhưng record không đánh dấu đây là lỗ hổng bị khai thác đã biết. Phần enrichment được trả về ghi nhận trạng thái exploitation là none và automatable là no; điều này không chứng minh rằng chưa từng có nạn nhân hoặc mọi hoạt động khai thác đều đã được phát hiện.

• Việc khai thác thành công có thể khiến người dùng tải xuống và cài đặt một ứng dụng Android độc hại dưới vỏ bọc tệp video, từ đó cho phép mã do kẻ tấn công kiểm soát chạy trên thiết bị sau khi người dùng chấp thuận cài đặt. • Các đánh giá được cung cấp mô tả tác động đến tính toàn vẹn và tính sẵn sàng là đáng kể, trong khi tác động trực tiếp đến tính bí mật được ghi nhận là không có đối với lỗi này. Khả năng payload sau đó đọc dữ liệu hoặc thực hiện hành vi khác phụ thuộc vào mã và quyền của payload, không được xác định trong record. • Hậu quả tổ chức có thể gồm thiết bị mất khả năng sử dụng, thay đổi trái phép, chi phí điều tra và nhu cầu thu hồi hoặc làm sạch thiết bị. Exploit không được tự động hóa theo enrichment được trả về và vẫn cần tương tác người dùng.

• Người dùng có thể cài đặt phần mềm độc hại trong khi tin rằng họ đang mở một video, làm tăng nguy cơ mất kiểm soát tính toàn vẹn của thiết bị Android. • Các tổ chức có thể phải điều tra thiết bị, cô lập endpoint, gỡ ứng dụng đáng ngờ và xử lý sự cố trên các thiết bị đã nhận payload. • Payload độc hại có thể gây gián đoạn hoạt động hoặc thay đổi trái phép trên thiết bị; khả năng truy cập dữ liệu cụ thể phụ thuộc vào ứng dụng được cài và quyền mà người dùng cấp, nhưng không được xác lập bởi record này. • Phạm vi ảnh hưởng được ghi nhận là client Telegram for Android. ESET cho biết thử nghiệm của họ không cho thấy cùng exploit hoạt động trên Telegram Web hoặc Telegram Desktop, nhưng trạng thái của các client hoặc bản đóng gói khác không được record liệt kê vẫn chưa được xác minh.

1. Cập nhật Telegram for Android lên 10.14.5, là bản ESET xác định đã sửa lỗi, hoặc lên bản mới hơn được cung cấp qua kênh cập nhật chính thức. Không tiếp tục duy trì các bản từ 10.14.4 trở về trước trên thiết bị có thể nhận nội dung Telegram không tin cậy.
2. Trong thời gian chưa cập nhật, không mở video Telegram đáng ngờ khi ứng dụng yêu cầu dùng trình phát bên ngoài, không cài ứng dụng được giới thiệu như trình phát video và không bật cài đặt ứng dụng không rõ nguồn chỉ để mở một tệp media.
3. Với fleet được quản lý, dùng MDM hoặc công cụ inventory để xác định package org.telegram.messenger, cưỡng chế cập nhật và theo dõi các thiết bị chưa đạt bản sửa.
4. Nếu phát hiện thiết bị đã tương tác với payload đáng ngờ, cô lập thiết bị theo quy trình ứng phó sự cố di động, kiểm tra các ứng dụng mới được cài và rà soát telemetry cài đặt ứng dụng. Dùng danh sách mẫu và network indicators từ nguồn ESET như dữ liệu hỗ trợ, không coi việc không có indicator là bằng chứng an toàn.

• Kiểm kê các thiết bị Android có cài package org.telegram.messenger và xác định các thiết bị còn nằm trong phạm vi phiên bản bị ảnh hưởng được nêu ở phần affected_summary. • Rà soát phản ánh người dùng và telemetry của Telegram để tìm video hiển thị bất thường, thông báo không thể phát, lời mời mở bằng trình phát bên ngoài hoặc yêu cầu bật cài đặt ứng dụng không rõ nguồn. • Kiểm tra lịch sử tải xuống và cài đặt ứng dụng quanh thời điểm người dùng tương tác với tệp media Telegram, đặc biệt khi một tệp APK bị hiển thị như video hoặc tệp đa phương tiện. • Đối chiếu với telemetry MDM hoặc mobile security về thay đổi cài đặt cho phép cài ứng dụng không rõ nguồn và các ứng dụng mới xuất hiện sau hoạt động Telegram. Đây là biện pháp giám sát phòng ngừa, không phải indicator được xác nhận riêng cho lỗ hổng này. • Sử dụng danh sách mẫu và network indicators do nguồn ESET cung cấp như dữ liệu bổ sung. Không thấy indicator không chứng minh thiết bị an toàn.