CVE-2024-9956: Androiddagi Google Chrome’ning WebAuthentication’ida jiddiy zaiflik

Qarshi oling: CVE-2024-9956, bu Android Chrome’idagi jiddiy zaiflik bo‘lib, u Bluetooth orqali PassKeyni o'g'irlash imkonini beradi. Asosiy himoya strategiyalarini o‘rganib oling.

2024-yil oktyabr oyida Android qurilmalaridagi Google Chrome’ning WebAuthentication (WebAuthn) komponentida CVE-2024-9956 deb belgilangan jiddiy xavfsizlik zaifligi aniqlangandi. Bu zaiflik Bluetooth masofasidagi mahalliy hujumchilarga maxsus ishlab chiqilgan HTML sahifalari orqali imtiyozlarni oshirish imkonini berdi, bu esa hisobni egallab olish va ma’lumotlarning oshkor bo‘lishi xavfini keltirib chiqardi. PassKey’larning tasdiqlov uchun keng qo‘llanilishi hisobga olinsa, ushbu zaiflik phishingga chidamli tasdiqlov mexanizmlariga tayanadigan foydalanuvchilar uchun jiddiy xavf tug‘dirdi.

Umumiy Zaifliklarni Baholash Tizimi (CVSS) v3.1 bo‘yicha asosiy ball: 7.8

Eksploit Taxminiy Baholash Tizimi (EPSS) balli: 0.029%

Zaiflik Tavsifi

Zaiflik Chrome’ning WebAuthentication API’ni boshqarishdagi noto‘g‘ri amalga oshirishdan kelib chiqdi. Asosiy muammo FIDO:/ URI sxemasining ruxsatsiz chaqirilishida bo‘lib, bu PassKey tasdiqlovi so‘rovlarini boshqarish uchun ishlatiladi. Hujumchilar bu zaiflikdan foydalanib, qurbon tomonidan ochilgan zararli veb-sahifada Bluetooth orqali avtomatik PassKey tasdiqlovi so‘rovini boshlashlari mumkin edi. Bu jarayon foydalanuvchining bevosita o‘zaro ta’sirini talab qilmagani uchun hujumchilar tasdiqlov ma’lumotlarini qo‘lga kiritib, hisobni egallab olish hujumlarini amalga oshirishlari mumkin edi.

Eksploit Mexanizmi

Hujum jarayoni quyidagi bosqichlarni o‘z ichiga oladi:

- Foydalanuvchi hujumchi tomonidan yaratilgan zararli veb-saytga tashrif buyuradi.

- Veb-sayt ruxsatsiz FIDO:/ tasdiqlov so‘rovini ishga tushiradi.

- Chrome WebAuthn uchun Bluetooth asosidagi tasdiqlov so‘rovini boshlaydi.

- Hujumchi, Bluetooth masofasida bo‘lib, javobni ushlaydi va qo‘lga kiritadi.

- Hujumchi qo‘lga kiritilgan

Isboti (PoC)

Konsepsiya isboti (exploit) shuni ko‘rsatdiki, zaiflik hujumchi tomonidan boshqariladigan veb-saytda quyidagi skriptni joylashtirish orqali ishga tushirilishi mumkin:

<script> let passkeyTrigger = document.createElement('a'); passkeyTrigger.href = 'FIDO:/auth'; document.body.appendChild(passkeyTrigger); passkeyTrigger.click();</script>

Qurbon sahifaga kirganda, mazkur skript brauzerni PassKey tasdiqlovi so‘rovini boshlashga majbur qiladi, bu esa hujumchiga tasdiqlov ma’lumotlarini ushlab olish imkonini beradi.

Ta’sirlangan Platformalar

Zaiflik dastlab Androiddagi Google Chrome’da (130.0.6723.58dan oldingi talqinlarda) aniqlangan. Biroq, keyingi tekshiruvlar shuni ko‘rsatdiki, shunga o‘xshash muammolar quyidagi platformalarda ham mavjud:

- iOS’dagi Safari

- Androiddagi Firefox

- Samsung Internet Browser

Bu mobil WebAuthn boshqaruvidagi tizimli zaiflikni ko‘rsatadi, bu esa bir nechta platformalarga ta’sir qiladi.

Hujum Holatlari

1-holat: Ommaviy Wi-Fi Hujumi

- Qurbon aeroportdagi ommaviy Wi-Fi tarmog‘iga ulanadi.

- Hujumchi fonda PassKey tasdiqlov so‘rovini ishga tushiradigan zararli veb-sahifani joylashtiradi.

- Hujumchi Bluetooth masofasida bo‘lgani uchun tasdiqlov ma’lumotlarini ushlaydi.

- Hujumchi qurbonning hisoblariga ruxsatsiz kirish huquqini qo‘lga kiritadi.

2-holat: Drive-By tasdiqlov o‘g‘riligi

- Qurbon elektron pochta orqali phishing havolasini oladi va bu havola uni zararli saytga olib boradi.

- Sayt FIDO:/ tasdiqlov so‘rovini yashirincha ishga tushiradi.

- Agar hujumchi yaqin atrofda bo‘lsa, ular tasdiqlov javobini o‘g‘irlashi mumkin.

- Qurbon buni sezmaydi, hujumchi esa ularning hisobiga kiradi.

**Yumshatish va Tuzatish**

Bartaraf etish va tuzatish

Google Chrome 130.0.6723.58 talqinini chiqardi, bu muammoni ruxsatsiz WebAuthn chaqiruvlarini cheklash orqali hal qildi. Foydalanuvchilarga quyidagilar qat’iy tavsiya qilinadi:

- Google Chrome’ni eng so‘nggi talqiniga yangilang.

- Agar kerak bo‘lmasa, Bluetooth orqali WebAuthn’ni o‘chirib qo‘ying.

- MITM hujumlarining xavfini kamaytirish uchun VPN’dan foydalaning.

- Kutilmagan tasdiqlov so‘rovlariga ehtiyot bo‘ling.

Vaqtinchalik Yechimlar

Darhol yangilay olmaydigan foydalanuvchilar uchun:

- Foydalanilmayotganda Bluetooth’ni o‘chirib qo‘ying.

- Ishonchsiz havolalar va veb-saytlardan qoching.

- Avtomatik tasdiqlov oldini olish uchun WebAuthn so‘rovlarini qo‘lda tasdiqlang.

Xulosa

CVE-2024-9956 mobil WebAuthn amalga oshirilishidagi jiddiy zaiflikni ko‘rsatadi, bu zararli hakerlar qonuniy tasdiqlov mexanizmlaridan ruxsatsiz kirish uchun qanday foydalanishi mumkinligini namoyish etadi. Ushbu zaiflik tasdiqlov protokollarida qattiq xavfsizlik sinovlarining muhimligini va foydalanuvchi ma’lumotlarini himoya qilish uchun dasturiy ta’minotni tezkor yangilash zarurligini ta’kidlaydi.

Manbalar:

Milliy Zaifliklar Ombori (NVD): CVE-2024-9956

Xavfsizlik Tadqiqot Hisoboti: Mastersplinter Research