Rebecca Black
Senior Member
Mới đây, qua cộng đồng J2Team Community trên MXH Facebook, một người dùng đã chia sẻ một lỗ hổng bảo mật của phần mềm nhắn tin Zalo. Lỗ hổng này cho phép người dùng Zalo có thể thêm bất cứ ai trở thành bạn bè mà không cần có sự cho phép.
Lê Anh Trường, người đã phát hiện ra lỗ hổng, cho biết đã sử dụng các hàm API của Zalo để thực hiện điều này. Trong phần bình luận, Lê Anh Trường cho biết mình đang là sinh viên năm nhất tại một trường đại học tại Đà Nẵng.
Theo thành viên này chia sẻ, lỗ hổng được phát hiện vào đầu tháng 4/2024. Hiện chưa rõ lỗ hổng này xuất hiện từ bao giờ và đã bị khai thác trước đó hay chưa.
Sau khi phát hiện lỗ hổng, Lê Anh Trường đã thông báo với đội ngũ bảo mật của Zalo (VNG). Tới ngày 15/04/2024, đội ngũ bảo mật của Zalo đã có phản hồi, cho biết lỗ hổng đã được khắc phục.
Đoạn email được Lê Anh Trường chia sẻ cho thấy đội ngũ bảo mật Zalo đánh giá mức độ nghiêm trọng của lỗ hổng này ở mức "trung bình", ở mức 5.3 điểm theo thang chấm điểm CVSS 3.0. Zalo sẽ đưa tên của bạn Lê Anh Trường vào danh sách "Hall of Fame" (danh sách những người đã có đóng góp).
Nhiều tập đoàn/công ty lớn trong lĩnh vực IT có chương trình báo cáo lỗi (bug bounty) khi người dùng phát hiện ra lỗ hổng bảo mật của phần mềm. Tuy nhiên, đoạn email không đề cập tới việc bạn Lê Anh Trường có nhận được khoản tiền thưởng nào cho đóng góp của mình hay không. Trong phần bình luận, người dùng này sau đó xác nhận về việc không nhận được tiền thưởng khi báo cáo lỗ hổng này.
Trong thời gian từ đầu tháng 4/2024 thì mình đã phát hiện hai lỗ hổng bảo mật đáng chú ý trên Zalo:
- Khả năng kết bạn mà không cần sự đồng ý của người lạ.
Sự ảnh hưởng
- Tận dụng tính năng "Chấp nhận" trên Zalo để mở rộng mạng lưới bạn bè một cách thông minh và linh hoạt. Chỉ cần có số điện thoại, người lạ cũng có thể trở thành bạn bè trên Zalo
- Bằng cách sử dụng userID từ số điện thoại của người dùng, nếu server trả về userID, người đó sẽ được xem là sử dụng Zalo.
Chi tiết kỹ thuật:
Với các tham số sau:
- actiontime=1
- api_key=NULL
- avatarSize=120
- clientType=1
- session_key=NULL
- sign=NULL
- ts=NULL
- userId=397726729
- sig=NULL
URL: friend.talk.zing.vn/api/friend/accept
- Bằng cách gửi yêu cầu lên server dạng GET, nếu server trả về "code" : 0, đồng nghĩa với việc kết bạn thành công.
Sinh viên năm nhất phát hiện lỗ hổng bảo mật của Zalo: Thêm bất cứ ai làm bạn bè mà không cần chấp thuận
Hiện tại lỗ hổng này đã được VNG/Zalo ghi nhận và khắc phục.doisongphapluat.nguoiduatin.vn
Last edited: