Lỗ hổng thoát sandbox iOS chưa được vá làm lộ dữ liệu ví tiền điện tử trên các phiên bản mới

Sàn giao dịch tiền điện tử Binance đã đưa ra cảnh báo về một lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến iPhone chạy iOS 26 và 27. Lỗi này, có tên là worse_query, cho phép các ứng dụng độc hại vượt qua sandbox của iOS và truy cập dữ liệu nhạy cảm được lưu trữ bởi các ứng dụng khác, bao gồm cả khóa riêng tư (private keys) và cụm từ hạt giống (seed phrases). Các bản cập nhật phần mềm gần đây nhất của Apple dường như không giải quyết vấn đề cụ thể này, khiến người dùng có nguy cơ bị lộ thông tin cho đến khi bản vá được phát hành.

Chuyện gì đã xảy ra

Các nhà nghiên cứu forcequit và 0xjohnny đã công bố mã khai thác trên GitHub vào Chủ nhật, chỉ một ngày trước khi Apple tung ra các bản cập nhật iOS mới nhất. Lỗ hổng này cho phép một ứng dụng đọc các tệp từ container dữ liệu của những ứng dụng khác, phá vỡ hiệu quả sự cô lập vốn đảm bảo tính tách biệt và an toàn cho dữ liệu ứng dụng. Điều này gây ra rủi ro nghiêm trọng cho người dùng tiền điện tử, vì các ứng dụng ví thường lưu trữ thông tin đăng nhập quan trọng cục bộ trên thiết bị.

Binance khuyên người dùng thực hiện ngay các biện pháp phòng ngừa, mặc dù sàn này chưa ghi nhận bất kỳ vụ trộm cắp hay tấn công nào liên quan đến lỗ hổng này. Sàn giao dịch khuyến nghị xóa mọi ứng dụng được cài đặt từ nguồn không đáng tin cậy, chẳng hạn như các ứng dụng được sideload hoặc ký thủ công, đồng thời đảm bảo rằng cả iOS và tất cả các ứng dụng đã cài đặt đều được cập nhật. Đối với những người dùng nghi ngờ thiết bị của họ có thể đã bị xâm phạm, Binance gợi ý chuyển tiền sang một ví mới được tạo trên một thiết bị sạch sẽ và đặt lại tất cả các phiên đăng nhập đang hoạt động.

Các nhà nghiên cứu tuyên bố rằng họ đã công bố mã sớm hơn dự kiến vì Apple phản hồi chậm trễ đối với các báo cáo của họ, và thông tin sai lệch đang lan truyền trực tuyến. Forcequit lưu ý trên X rằng "Apple đã trì hoãn việc phản hồi tôi và mọi người bắt đầu giả vờ sử dụng nó ở đây." Bất chấp việc công khai mã, cả các nhà nghiên cứu lẫn Binance đều chưa xác nhận bất kỳ cuộc khai thác thực tế nào dẫn đến tổn thất tài chính.

Cách thức hoạt động

Khai thác worse_query nhắm vào cơ chế sandbox của iOS, vốn được thiết kế để ngăn các ứng dụng truy cập dữ liệu của nhau. Để hoạt động, khai thác này yêu cầu một ứng dụng thiết lập container App Group, một tính năng thường được sử dụng để chia sẻ dữ liệu giữa các ứng dụng từ cùng một nhà phát triển. Sau khi container này được thiết lập, mã thử nghiệm khái niệm (proof-of-concept) có thể truy cập container dữ liệu của mọi ứng dụng trên thiết bị, và thậm chí cả một số thư mục hệ thống trên iOS 27.

Nhà phát triển Christoph Kolbicz đã xây dựng một trình quản lý tệp chức năng có tên WQ Files sử dụng khai thác này. Ứng dụng này có thể được cài đặt thông qua các công cụ sideloading như AltStore và SideStore, tự động cấu hình App Group cần thiết khi liên kết với Apple ID. WQ Files cho phép người dùng xem, chỉnh sửa, xóa và xóa dữ liệu từ các ứng dụng khác mà không cần jailbreak hoặc khai thác cấp kernel. Vẫn chưa rõ liệu một ứng dụng phân phối qua App Store chính thức có thể tận dụng lỗ hổng này hay không, vì chưa ai liên quan xác nhận khả năng đó.

Chi tiết chính

• Lỗ hổng ảnh hưởng đến iPhone chạy iOS 26 và 27, với một số báo cáo cho biết hỗ trợ cho iOS 27.2.1.
• Khai thác, có tên là worse_query, được các nhà nghiên cứu forcequit và 0xjohnny phát hành trên GitHub.
• Các bản cập nhật gần đây của Apple, iOS 27.2.1 và iOS 26.7.3, đã sửa các vấn đề về iMessage và Bluetooth nhưng không liệt kê bản sửa lỗi cho việc thoát sandbox này.
• Khai thác yêu cầu một container App Group, thứ mà các công cụ sideloading có thể tự động tạo ra.
• Chưa có báo cáo về các cuộc tấn công hoặc trộm cắp được xác nhận, nhưng rủi ro đối với lưu trữ ví tiền điện tử cục bộ là rất cao.
• Binance khuyên người dùng nên xóa các ứng dụng sideloaded và chuyển tiền nếu nghi ngờ bị vi phạm.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và chuyên gia bảo mật, sự cố này làm nổi bật sự mong manh của việc sandbox hóa di động khi liên quan đến các tính năng giao tiếp nâng cao giữa các ứng dụng. Việc một thiết bị không jailbreak vẫn có thể bị truy cập dữ liệu ứng dụng bởi một ứng dụng khác đã cài đặt làm suy yếu một lời hứa bảo mật cốt lõi của hệ sinh thái iOS. Các nhà phát triển xây dựng ứng dụng tài chính hoặc nhạy cảm về bảo mật phải giả định rằng lưu trữ cục bộ có thể không hoàn toàn an toàn nếu người dùng đã cài đặt phần mềm không đáng tin cậy.

Sự chậm trễ trong phản hồi của Apple và việc công khai khai thác sau đó cũng nhấn mạnh những thách thức trong quy trình công bố trách nhiệm (responsible disclosure). Khi các nhà cung cấp không truyền đạt dòng thời gian hoặc thừa nhận mức độ nghiêm trọng, các nhà nghiên cứu có thể cảm thấy buộc phải công khai để cảnh báo người dùng, ngay cả khi bản vá chưa sẵn sàng. Động lực này tạo ra một khoảng trống dễ bị tổn thương nơi kẻ tấn công có thể phát triển các phiên bản vũ khí hóa của mã thử nghiệm khái niệm trước khi bản sửa lỗi có sẵn.

Bạn có thể làm gì

• Xóa mọi ứng dụng được cài đặt từ nguồn không đáng tin cậy, bao gồm cả những ứng dụng được sideload qua AltStore hoặc SideStore.
• Cập nhật iPhone của bạn lên phiên bản iOS mới nhất hiện có, mặc dù lưu ý rằng bản sửa lỗi cụ thể cho vấn đề này vẫn chưa được xác nhận.
• Nếu bạn sử dụng ứng dụng ví tiền điện tử, hãy cân nhắc chuyển tài sản của bạn sang một ví mới được tạo trên một thiết bị hoàn toàn sạch sẽ.
• Đặt lại tất cả các phiên đăng nhập đang hoạt động cho các sàn giao dịch tiền điện tử và dịch vụ ví của bạn.
• Theo dõi các ghi chú bảo mật chính thức từ Apple để tìm kiếm các đề cập tương lai về bản sửa lỗi sandbox hoặc các bản vá liên quan.
• Tránh cài đặt các trình quản lý tệp hoặc tiện ích yêu cầu quyền truy cập hệ thống rộng trừ khi chúng đến từ các nhà phát triển đã được xác minh và đáng tin cậy.