Tóm tắt nhanh
- Binance cảnh báo worse_query có thể cho ứng dụng độc hại đọc tệp cục bộ của ứng dụng khác trên iPhone.
- Mã chứng minh khả năng khai thác cần ứng dụng có vùng lưu trữ App Group; đây không phải công cụ jailbreak.
- Nhà nghiên cứu cho biết iOS 27.2.1 và iOS 27.3 beta 1 chưa vá lỗi, trái với nhận định cập nhật trước đó của một chuyên gia bảo mật.
- Chưa có báo cáo được xác nhận về tiền mã hóa bị đánh cắp bằng lỗ hổng này; ứng dụng không rõ nguồn gốc vẫn cần được gỡ bỏ.
Binance ngày 10/11 cảnh báo người dùng iPhone về worse_query, lỗ hổng có thể khiến cụm từ khôi phục ví, khóa riêng tư hoặc thông tin đăng nhập bị lộ nếu chúng nằm trong các tệp mà ứng dụng độc hại đọc được. Sàn giao dịch xác định đây là vấn đề ở cấp iOS, không riêng ứng dụng Binance.
Điểm cần phân biệt là khả năng vượt lớp cách ly ứng dụng với một vụ mất tiền đã xảy ra. Mã khai thác công khai cho thấy ranh giới bảo vệ tệp có thể bị vượt qua, nhưng chưa chứng minh mọi ví trên iPhone đều lộ khóa, càng không có nghĩa cứ dùng iPhone là tài sản đã bị lấy mất.
Đọc được thư mục ứng dụng chưa có nghĩa lấy được mọi khóa ví
Sandbox là cơ chế cách ly để một ứng dụng không tùy ý đọc tệp riêng của ứng dụng khác. worse_query nhắm vào ranh giới này: danh sách đường dẫn trong kho GitHub forcequitOS/worse_query bao gồm thư mục dữ liệu ứng dụng và vùng lưu trữ dùng chung App Group. Tác giả mô tả đây là mã chứng minh khả năng khai thác dành cho lập trình viên, cần thiết lập một App Group container để sử dụng.
Vì vậy, mối nguy nằm ở một ứng dụng có khả năng chạy mã khai thác trên máy, chứ không phải chỉ ở việc người dùng có cài ví tiền số. Khi ranh giới thư mục bị vượt qua, hậu quả còn phụ thuộc vào nội dung thực sự được lưu trong các tệp có thể truy cập. Nếu thông tin bí mật xuất hiện dưới dạng đọc được, việc lộ tệp có thể dẫn tới lộ bí mật; chỉ từ danh sách đường dẫn của mã thử nghiệm thì chưa thể kết luận mọi cơ chế bảo vệ khóa đều đã bị phá.
Đây cũng là lý do cần tách tài khoản sàn giao dịch khỏi ví tự quản. Cảnh báo đề cập cả thông tin đăng nhập lẫn khóa riêng tư, nhưng phiên đăng nhập và khóa kiểm soát ví là hai loại bí mật khác nhau. Xử lý một phiên đăng nhập đáng ngờ không thay thế được việc chuyển tài sản khi khóa ví có nguy cơ đã lộ.
Tác giả khẳng định worse_query không liên quan tới jailbreak. Việc có mã thử nghiệm công khai cũng không đồng nghĩa nó là một ứng dụng hoàn chỉnh có thể tự đánh cắp tài sản ngay khi tải về. Tính đến ngày 11/11, chưa có báo cáo được xác nhận về tiền mã hóa bị đánh cắp bằng lỗi này.
Rà soát ứng dụng cài ngoài trước khi trông chờ bản vá
Cập nhật hệ điều hành vẫn cần thiết, nhưng không nên coi thao tác đó là bằng chứng worse_query đã được xử lý. Binance nêu các phiên bản iOS 26.7.1, 27.0.1 và 27.2 trong cảnh báo; còn README của mã thử nghiệm mô tả phạm vi iOS 26.0–26.7.2 và iOS 27.2. Hai danh sách có phạm vi khác nhau, không phải danh sách đầy đủ các phiên bản chắc chắn an toàn hoặc không an toàn.
Về bản vá, thông tin công bố cũng có điểm trái chiều. Decrypt ghi nhận chuyên gia 23pds của SlowMist từng nhận định iOS 27.2.1 sẽ chặn cách khai thác này, trong khi phát biểu ngày 10/11 của forcequitOS được 9to5Mac dẫn lại khẳng định cả iOS 27.2.1 lẫn iOS 27.3 beta 1 đều chưa vá worse_query. Ghi chú bảo mật của Apple không xác nhận bản sửa cho tên lỗi này. Vì vậy, chưa đủ cơ sở để khuyên người giữ tiền số cập nhật xong rồi bỏ qua những ứng dụng đã cài.
Với người dùng tại Việt Nam từng cài tệp IPA hoặc ký ứng dụng ngoài App Store, việc cần làm trước là rà soát nguồn gốc từng ứng dụng và gỡ app không đáng tin. Binance cũng khuyến nghị cập nhật iOS cùng ứng dụng lên bản chính thức mới nhất. Hai việc này bổ sung cho nhau: cập nhật xử lý các lỗi đã được vá, còn gỡ ứng dụng đáng ngờ giảm nguy cơ để mã độc tiếp tục hiện diện trên thiết bị.
Nếu nghi đã bị xâm nhập, khuyến nghị của Binance là chuyển tài sản sang ví mới được tạo trên một thiết bị sạch và đặt lại các phiên đăng nhập đang hoạt động. Điểm quan trọng nằm ở ví mới và thiết bị sạch: tiếp tục dùng cùng bí mật có nguy cơ đã lộ không giải quyết được nguyên nhân, dù ứng dụng đáng ngờ đã bị gỡ.
Nguồn tham khảo: GitHub forcequitOS/worse_query; 9to5Mac; Decrypt.
