Các nhà nghiên cứu bảo mật mạng tại Check Point vừa tiết lộ chi tiết về lỗ hổng nguy hiểm tiềm ẩn trong ứng dụng web DJI Drone, cho phép kẻ tấn công truy cập vào tài khoản người dùng và đồng bộ thông tin nhạy cảm trong đó, bao gồm hồ sơ chuyến bay, địa điểm, nguồn cấp dữ liệu video trực tiếp và ảnh chụp.

Minh họa chi tiết thông tin về cách xâm nhập thiết bị bay của DJI Drone.

Theo đánh giá của hãng bảo mật Check Point, công ty sản xuất bay không người lái nổi tiếng tại Trung Quốc DJI Drone đã bịt lỗ hổng này, sau khi thông tin được tiết lộ.

Cuộc tấn công tiếp quản tài khoản lợi dụng ba lỗ hổng trong cơ sở hạ tầng của DJI, bao gồm lỗi Secure Cookie trong quá trình nhận dạng DJI, lỗ hổng trong kịch bản (XSS) trong diễn đàn và vấn đề về SSL Pinning trong ứng dụng di động của nó. Lỗ hổng đầu tiên, tức là không "bật cờ cookie an toàn" và "httponly", cho phép kẻ tấn công lấy cắp cookie đăng nhập của người dùng bằng cách chèn mã JavaScript độc hại vào trang web diễn đàn DJI bằng lỗ hổng XSS.

Tin tặc sau khi "bắt" thông tin cookie đăng nhập, bao gồm mã xác thực, nó có thể sử dụng lại để kiểm soát hoàn toàn tài khoản web DJI của người dùng và ứng dụng quản lý hoạt động bay của thiết bị là DJI Flighthub.

Để kích hoạt cuộc tấn công XSS này, tất cả những gì kẻ tấn công cần làm là viết một bài đăng trong diễn đàn DJI có chứa liên kết liên quan đến tải trọng của thiết bị này. Người dùng sau khi đăng nhập vào diễn đàn nếu nhấp vào liên kết độc hại đặc biệt này có thể đã bị mất thông tin đăng nhập của họ và cho phép truy cập vào các tài sản trực tuyến DJI khác.

DJI Drone đã phải đối mặt với sự giám sát tại Hoa Kỳ sau khi Bộ An ninh Nội địa Mỹ (DHS) phát hành một bản ghi nhớ vào cuối năm ngoái cáo buộc công ty gởi thông tin nhạy cảm về cơ sở hạ tầng của Mỹ đến Trung Quốc thông qua phần mềm trong các thiết bị bay không người lái.

Tuy nhiên, các nhà sản xuất máy bay không người lái tại Trung Quốc bác bỏ cáo buộc, nói rằng bản ghi nhớ từ Văn phòng Chính phủ Mỹ dựa trên "tuyên bố sai lầm và gây hiểu lầm rõ ràng".

Các nhà nghiên cứu của Check Point đã báo cáo sự "dễ bị tổn thương" của phần mềm điều khiển cho thiết bị DJI Drone, nhưng không tiết lộ thông tin về số tiền thưởng mà họ nhận được sau khi phát hiện thông tin nhạy cảm này.

Hoàng Thy (Theo Thehackernews)