Ứng dụng tỷ lượt tải của Xiaomi dính lỗ hổng bảo mật

[june04]

File Manager của Xiaomi là một trong các ứng dụng được Microsoft phát hiện chứa lỗ hổng, cho phép hacker tấn công và ghi đè lên các tệp quan trọng.

Theo Microsoft, lỗ hổng liên quan đến tùy chọn kết nối và chia sẻ tệp từ xa bằng Giao thức truyền tải tập tin FTP và Khối tin nhắn máy chủ SMB - giao thức mạng dùng để chia sẻ file và thiết bị trong một mạng. Ước tính các ứng dụng bị dính lỗ hổng đã có tổng cộng hơn bốn tỷ lượt tải trên Google Play, trong đó File Manager của Xiaomi đạt hơn một tỷ lượt, còn WPS Office là trên 500 triệu lượt.

Cụ thể, lỗ hổng sẽ cho phép ứng dụng độc hại ghi đè lên các tệp trong thư mục chính của ứng dụng. Sau khi xâm nhập thiết bị, hacker có thể thực thi mã tùy ý, từ đó toàn quyền kiểm soát hành vi của ứng dụng và điện thoại, như quyền truy cập vào tài khoản và dữ liệu nhạy cảm của người dùng.

Microsoft cho biết đã liên hệ với Xiaomi và các nhà phát triển ứng dụng khác để vá lỗ hổng sau khi phát hiện vào tháng 2. Tuy nhiên, hãng phần mềm Mỹ lo ngại vấn đề có thể đang tồn tại trong nhiều ứng dụng mà họ chưa kiểm tra tới, hoặc người dùng chưa tải bản app mới nhất. Do đó, công ty khuyến cáo người dùng Android sớm cập nhật các ứng dụng đang chạy trên smartphone, đồng thời chỉ tải ứng dụng từ nguồn đáng tin cậy.

Xiaomi và Kingsoft, công ty đứng sau WPS Office, chưa đưa ra bình luận.

File Manager của Xiaomi, hay Mi File Manager, được Xiaomi giới thiệu là ứng dụng cho phép tìm tập tin nhanh hơn và quản lý file dễ dàng. Phần mềm chứa tính năng tìm kiếm nhanh, di chuyển, xóa, mở các tập tin chia sẻ, cũng như đổi tên, giải nén, hỗ trợ nhiều định dạng như nhạc, video, hình ảnh, tài liệu, gói ứng dụng và tệp zip. Trên Google Play, ứng dụng nhận đánh giá 4,6/5 sao từ 4,12 triệu người dùng.

Trong khi đó, WPS Office, trước đây là Kingsoft Office, do Kingsoft, công ty phần mềm Trung Quốc, phát triển. Ứng dụng cho phép xem, chỉnh sửa tệp văn bản, trang tính và nhiều định dạng tập tin cho văn phòng khác.