Компания Amazon решила выплатить 18 000 долларов за обнаружение уязвимостей и цепочки эксплойтов, которые позволяют злоумышленникам получить полный контроль над электронными книгами Kindle, просто зная адрес электронной почты пользователя.
Эксперт по информационной безопасности Йогев Бар-Он из израильской компании Realmode Labs обнаружил уязвимости в октябре 2020 года.
Первая уязвимость в цепочке эксплойтов была связана с функцией «Отправить в Kindle», позволяющей пользователю отправить электронную книжку в формате MOBI на своё устройство Kindle по электронной почте в виде вложения. Amazon предоставляет адрес ****@kindle.com, по которому можно отправлять электронные книжки с любого электронного адреса, который был предварительно одобрен владельцем устройства.
Йогев Бар-Он выяснил, что есть возможность злоупотребления этой функцией – можно отправить по email специально созданную электронную книгу, с помощью которой будет выполнен произвольный код на целевом устройстве.
С помощью вредоносной электронной книги появляется возможность выполнить произвольный код из-за эксплуатации уязвимости, связанной с библиотекой, которую использует устройство Kindle для анализа изображений JPEG XR. Для успешной эксплуатации уязвимости требовалось, чтобы пользователь щелкнул по ссылке внутри книги, которая содержала вредоносное вложение JPEG XR. После открытия ссылки запускался браузер и код киберпреступника.
Также Йогев Бар-Он нашел уязвимость, которая позволял повышать привилегии и выполнять код от имени пользователя root, что, по сути, предоставляло к устройству полный доступ.
«Хакеры могли с легкостью получить доступ к учетным записям устройства, совершить покупки в магазине Kindle с использованием привязанной банковской карты жертвы. Можно было продать электронную книгу в магазине и перевести деньги на свой счет», – отметил Йогев Бар-Он.
Киберпреступнику для успешного проведения атаки требовалось знать электронный адрес пользователя и убедить жертву перейти по ссылке внутри вредоносной книги.
Компания Amazon сразу после получения информации о наличия уязвимостей их устранила. Эксперту было выплачено вознаграждение в размере 18 тыс. долларов.
На следующем видео можно посмотреть, как именно проводится атака на книги Kindle:
