Auf iOS, fanden wir eine ernsthafte Sicherheitslücke
Makradar Technologie / / December 19, 2019
Charlie Miller, die sich in Forschung und Analyse der Computersicherheit, plant die Verletzlichkeit zu zeigen, sie entdeckt, herkömmliche Anwendungen aus dem App Store ermöglicht unbeabsichtigte ursprünglich Codeabschnitte zum Herunterladen und Ausführen auf jedem iOS-Gerät.
Miller ist seit langem mit der Sicherheit von Apple-Produkten beschäftigt. Im Jahr 2008 erhielt er einen Preis in Höhe von $ 10.000 unter der Pwn2Own Konferenz zur Schaffung eines für das MacBook Air zu nutzen. Im folgende Jahr zeigte er einen Zehn-Hacking Safaru Browser und iPhone Schwachstellen im Zusammenhang mit der Übertragung von Kurznachrichten. Diesmal Charlie erstellt Instastock - scheinbar normale Anwendung, dass führt Funktionen zu überwachen. Instastock erfolgreich im App Store übergeben. Doch nach einer Weile Miller hat ein neues Video auf YouTube, wo die Anwendung führt nicht der Fall ist, wie in der Beschreibung angegeben. Nachdem Apple zu dieser Anwendung und Video herausgefunden wurde Instastock aus dem App Store entfernt und Miller selbst wurde aus dem iOS Developer Program vertrieben.
Wenn Sie die Anwendung verhält sich wie vorgeschrieben, aber nach Miller aktiviert die „versteckte“ Funktionalität auf ihren Server, irgendwie Zugriff auf die Anwendung hat, beginnt Instastock den Download und die Ausführung von unbeabsichtigtem ursprünglich Code. Nach den Regeln der Anwendungen App Store kann von Apple nur execute Code zugelassen. Allerdings erlaubt umfasst Miller schriftliche Bewerbung per Remote-Vibrationsmodus, öffnen Sie das Video auf YouTube, und sogar Ihr Adressbuch von Ihrem Gerät laden. Film zeigt auch die Fähigkeit, eine Reihe von verschiedenen Befehlen an den iPhone remote über Kommandozeilen-Schnittstelle auszuführen.
Anscheinend wurde ein ähnlicher Hack möglich dank der Tatsache, dass der Nitro JavaScript Engine gemacht, in iOS eingeführt 4.3, es einige Ausnahmen von dem Safari-Browser bietet, zu beschleunigen Rendering-Seiten. Laut Miller, «Apple verwendet alle nur ihre Kontrollen, um sicherzustellen, dass nur der Browser diese Ausnahme verwendet, aber in diesem Fall ist es möglich, zu umgehen und sich keine Sorgen über den Code verwendet überhaupt nicht. "
Instastock wurde aus dem App Store entfernt. Höchstwahrscheinlich wird Apple ein Update für die Sicherheitslücke in den iOS 5.0.1 Update enthält, das bereits den Status der Beta 2 hat und enthält einen Sicherheitspatch.
[via MacStories]