Sinh viên năm nhất phát hiện lỗ hổng bảo mật của Zalo: Thêm bất cứ ai làm bạn bè mà không cần chấp thuận

Mới đây, qua cộng đồng J2Team Community trên MXH Facebook, một người dùng đã chia sẻ một lỗ hổng bảo mật của phần mềm nhắn tin Zalo. Lỗ hổng này cho phép người dùng Zalo có thể thêm bất cứ ai trở thành bạn bè mà không cần có sự cho phép.

Lê Anh Trường, người đã phát hiện ra lỗ hổng, cho biết đã sử dụng các hàm API của Zalo để thực hiện điều này. Trong phần bình luận, Lê Anh Trường cho biết mình đang là sinh viên năm nhất tại một trường đại học tại Đà Nẵng.

Theo thành viên này chia sẻ, lỗ hổng được phát hiện vào đầu tháng 4/2024. Hiện chưa rõ lỗ hổng này xuất hiện từ bao giờ và đã bị khai thác trước đó hay chưa.

Sau khi phát hiện lỗ hổng, Lê Anh Trường đã thông báo với đội ngũ bảo mật của Zalo (VNG). Tới ngày 15/04/2024, đội ngũ bảo mật của Zalo đã có phản hồi, cho biết lỗ hổng đã được khắc phục.

Đoạn email được Lê Anh Trường chia sẻ cho thấy đội ngũ bảo mật Zalo đánh giá mức độ nghiêm trọng của lỗ hổng này ở mức "trung bình", ở mức 5.3 điểm theo thang chấm điểm CVSS 3.0. Zalo sẽ đưa tên của bạn Lê Anh Trường vào danh sách "Hall of Fame" (danh sách những người đã có đóng góp).

Nhiều tập đoàn/công ty lớn trong lĩnh vực IT có chương trình báo cáo lỗi (bug bounty) khi người dùng phát hiện ra lỗ hổng bảo mật của phần mềm. Tuy nhiên, đoạn email không đề cập tới việc bạn Lê Anh Trường có nhận được khoản tiền thưởng nào cho đóng góp của mình hay không. Trong phần bình luận, người dùng này sau đó xác nhận về việc không nhận được tiền thưởng khi báo cáo lỗ hổng này.

Click to expand...

Trong thời gian từ đầu tháng 4/2024 thì mình đã phát hiện hai lỗ hổng bảo mật đáng chú ý trên Zalo:
- Khả năng kết bạn mà không cần sự đồng ý của người lạ.

Sự ảnh hưởng
- Tận dụng tính năng "Chấp nhận" trên Zalo để mở rộng mạng lưới bạn bè một cách thông minh và linh hoạt. Chỉ cần có số điện thoại, người lạ cũng có thể trở thành bạn bè trên Zalo

- Bằng cách sử dụng userID từ số điện thoại của người dùng, nếu server trả về userID, người đó sẽ được xem là sử dụng Zalo.

Chi tiết kỹ thuật:
Với các tham số sau:
- actiontime=1

- api_key=NULL

- avatarSize=120

- clientType=1

- session_key=NULL

- sign=NULL

- ts=NULL

- userId=397726729

- sig=NULL

URL: friend.talk.zing.vn/api/friend/accept
- Bằng cách gửi yêu cầu lên server dạng GET, nếu server trả về "code" : 0, đồng nghĩa với việc kết bạn thành công.

Click to expand...

Sinh viên năm nhất phát hiện lỗ hổng bảo mật của Zalo: Thêm bất cứ ai làm bạn bè mà không cần chấp thuận

Hiện tại lỗ hổng này đã được VNG/Zalo ghi nhận và khắc phục.

doisongphapluat.nguoiduatin.vn

Click to expand...

kissem said:

app ngu ngục súc vật

Click to expand...

Chronicle1304 said:

Tập đoàn FDI tỏi đô toi từng làm việc cũng làm việc trên Zalo đấy

Click to expand...

kissem said:

app ngu ngục súc vật

Click to expand...

yeupanhmaj said:

VNG à

Click to expand...

Chronicle1304 said:

FDI mà, của Thái

Click to expand...

caorom said:

SCG à

Click to expand...

Wibu Heavy Industries said:

Chuẩn cty xứ lừa nha, report bug dùng khung đánh giá CVE từ mức Medium trở lên thường là có bounty của cty để cảm ơn; đằng này em được ghi danh lên bảng Hôn ộp Fame tương đương chục bằng Anh Hùng lao động nhé

Click to expand...

hero123 said:

nyc mới gỡ kết bạn Zalo

Click to expand...

Micoem.ver2 said:

cũ rồi thì gỡ là đúng rồi còn gì

Click to expand...