Tắt Quảng Cáo [X] Đăng Nhập để ẩn Tất Cả Quảng Cáo # **[TIN TỨC] Các lỗ hổng trong Zalo cho phép hacker chiếm quyền tài khoản người dùng** Nhóm săn lỗ hổng bảo mật của VinCSS đã phát hiện một số lỗ hổng nghiêm trọng của ứng dụng chat Zalo và đã thông báo đến bộ phận an ninh của Zalo vào ngày 10 tháng 8. Các hacker có thể lợi dụng các lỗ hổng này để chiếm quyền kiểm soát tài khoản Zalo của người dùng. Hacker có thể chiếm quyền tài khoản của người dùng thông qua việc dẫn dụ người dùng nhấp vào một đường link độc hại. Khi người dùng nhấp vào thì hacker sẽ có thể truy cập tài khoản thành công, và người dùng hoàn toàn không biết hacker đã xâm phạm bất hợp pháp vì ứng dụng Zalo không phát cảnh báo về phiên đăng nhập lạ nào. Nhóm VinCSS còn tiết lộ thêm rằng các hacker có thể lợi dụng lỗ hổng để khai thác trực tiếp ví điện tử ZaloPay và thanh toán trực tuyến tại Việt Nam. VinCSS là công ty dịch vụ an ninh mạng thuộc tập đoàn Vingroup. Có nhiều nghiên cứu và đóng góp cho an ninh mạng tại Việt Nam. Sau khi được thông báo, Zalo đã vá các lỗ hổng bảo mật trên. ## Các lỗ hổng bảo mật của Zalo đã được công bố **1. Lỗ hổng bảo mật trong tính năng đăng nhập ứng dụng qua Zalo** Nhóm bảo mật của VinCSS đã phát hiện tính năng đăng nhập trên có lỗ hổng bảo mật được gọi là Open Rediction cho phép thay đổi địa chỉ nhận token từ ứng dụng, Lúc này, smartphone người dùng sẽ chuyển sang ứng dụng Zalo, đồng thời Zalo sẽ hiển thị một thông báo Yêu cầu đăng nhập vào ứng dụng Zalo Web. Khi người dùng nhấn nút Cho phép, ứng dụng Zalo sẽ mở trình duyệt web trên smartphone kèm theo link đến địa chỉ redirect_url với một token dùng để đăng nhập. Dĩ nhiên, nếu người dùng nhất nút Từ chối, sẽ không gửi kèm token. **2. Lỗ hổng bảo mật trong tính năng xem trước nội dung liên kết** Với lỗ hổng bảo mật này, VinCSS cũng đã phát hiện ra rằng với cơ chế hiển thị nội dung trang đích cho người dùng xem trước mà không hiển thị đầy đủ địa chỉ đường link từ ứng dụng Zalo. Điều này vô tình giúp cho các hacker lợi dụng ẩn đi các đường link độc hại và dẫn dụ người dùng nhấp vào link độc hại và dễ dàng chiếm quyền tài khoản của họ. **3. Lỗ hổng bảo mật trong cơ chế đăng nhập lại** VinCSS còn tiết lộ thêm rằng Zalo đang sử dụng cơ chế này cho phép người dùng đăng nhập lại các phiên sử dụng Zalo từ Website với cookie của phiên đã từng đăng nhập. Tuy nhiên, cơ chế đăng nhập lại vẫn hoạt động với các phiên chưa từng đăng nhập và ẩn đi thông báo đã đăng nhập trên thiết bị mới. **4. Lỗ hổng bảo mật liên quan đến thời hạn của các phiên** Trong quá trình sử dụng ứng dụng Zalo, nhóm bảo mật VinCSS còn phát hiện khi khai thác cơ chế đăng nhập lại theo mô tả trên, phiên đăng nhập tương ứng với giá trị zpsid sẽ tồn tại rất dài. Hacker có thể lợi dụng lỗi này để truy cập và chiếm quyền kiểm soát tài khoản người dùng lâu dài. Hiện tất cả các lỗ hổng trên đã được vá trước khi nhóm bảo mật của VinCSS công khai thông tin. Vì vậy người dùng Zalo có thể yên tâm sử dụng. Theo VinCSS #j2team_news
Ae có thấy call video trên zalo lag vc không. Chuyển qua mess cái mượt ngay, làm tưởng mạng nhà bị sida
Phần mềm nào chả có lỗi, quan trọng là phải fix càng sớm càng tốt và không đổ lỗi cho nhân viên cũ hay bên thứ 3
Không biết app Zalo của mn có bị tình trạng không thông báo tn trên pop chat không mặc dù đã bật r nhưng mà vẫn ko hiện pop chat
Cho mình hỏi từ khi nào mà trojan như 1 đường link lạ lại được gọi là lỗ hổng bảo mật ạ? Tại theo như những gì mình vừa đọc được thì rõ ràng là các phương pháp tấn công đều sử dụng 1 đường dẫn rủi ro thì như vậy đâu được gọi là 1 lỗ hổng á. Mình nghĩ lỗ hổng phải là thứ mà attacker có thể khai thác được không thông qua mã độc chứ. Nếu vậy thì chỉ xếp những lỗi trên ở mức rủi ro chứ đâu thể xếp là lỗ hổng bảo mật nhỉ.
Tại Group MMO lớn nhất trên Telegram: Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO ToolsKiemTrieuDoGroup và group Facebook Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO, bạn có thể tải về miễn phí bộ công cụ đầy đủ để thay đổi thông tin PC, Antidetect+ Sưu tầm, AntiOS, FontFingerprint Antidetect browser Gologin và nhiều hơn nữa ///////////////////////// Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO Vui lòng đăng kí hoặc đăng nhập để thấy liên kết tại BigMMO