【滑鼠陷阱】下載量過千萬 Remote Mouse累用家面臨入侵風險

    一款下載量超過 1,000 萬次的 Android app Remote Mouse,被發現有超過 6 個零日漏洞 (zero-day vulnerabilities) 存在。雖然網絡安全專家已向開發商舉報,但超過90日仍未有回應,現時漏洞已被公開,Remote Mouse 用家都是暫時用回實體滑鼠會較安全。

    Remote Mouse 是一款可以將智能手機或平板電腦,轉變為電腦無線滑鼠的手機 app。它不單可作為電腦的滑鼠或 trackpad,亦支援語音輸入,以及可作為電腦多媒體播放器的遙控,因此甚受用家歡迎。根據它在 Google Play Store 上的描述,它曾被 CNET、Mashable、Product Hunt 等科技網站評為最優雅好用的電腦遙控應用軟件。而單單在Google Play Store上已被下載過千萬次,評分更達4.2分。

    不過,網絡安全專家 Axel Persinger 卻在分析該軟件時,發現竟存有 6 個漏洞之多,Axel 將它們統稱為 Mouse Trap 漏洞,原因是當它與 Windows 電腦版軟件連接時的認證系統不夠安全,讓黑客可以很容易逆向破解其配對驗證密碼,從而截取 Remote Mouse 伺服器的數據,甚至向電腦發送及遙距執行惡意編碼,從而入侵電腦。

    該 6 個漏洞分別是:

    CVE-2021-27569:可通過特製化數據封包,最大或最小化正在執行的視窗。
    CVE-2021-27570:可通過特製化數據封包,關閉任何正在執行的程序。
    CVE-2021-27571:查閱最近曾使用和正在執行的應用程式,以及其圖標和文件路徑。
    CVE-2021-27572:可通過重播數據封包繞過身份驗證程序,讓黑客可遠端登入系統,並經發送UDP封包執行惡意編碼。
    CVE-2021-27573:在未獲授權或身份驗證的情況下,發送UDP數據封包執行惡意編碼。
    CVE-2021-27574:利用軟件發送明文HTTP去檢查和請求系統更新的漏洞,向目標電腦回傳惡意系統更新。

    Axel 早於今年 2 月已通知 Remote Mouse 開發商這 6 個漏洞,不過事件三個月仍未獲對方回覆,而且期間對方雖然有提供系統更新,但卻不涉該 6 個漏洞,因此 Axel 便公開漏洞的詳細內容,同時發信給 Microsoft、Apple 及 Google,希望對方會從官網暫時移除 Remote Mouse。不過,現時 Remote Mouse 仍可在各應用程式商店下載,用家為免被入侵,應立即停止及移除該應用軟件,待推出更新後才重新使用。

    資料來源:https://bit.ly/3hbZsGr

    #MouseTrap #RemoteMouse #zerodayvulnerabilities #零日漏洞

    相關文章