IPhone'is töötav operatsioonisüsteem Apple iOS on haavatav mitme uue turvaauku suhtes. On oluline märkida, et vead ei vaja kasutaja interaktsiooni. Turvalisuse nõrkusi saab teadaolevalt käivitada täielikult, ilma et kasutaja peaks kunagi mingeid toiminguid tegema, linkidel klõpsama, rakendusi alla laadima jne. Muide, see pole esimene kord, kui iOS-is nii tõsiseid vigu avastatakse .
Täna selgus Apple iOSi operatsioonisüsteemis kaks uut tõsist turvaauku. Ilmselt võimaldavad need iOS-i vead ründajatel ilma kasutaja toiminguteta pääseda juurde iOS-i töötavale iPhone'i seadmele. Veelgi olulisem on see, et kaugjuhitud rünnak võimaldab ka kaugkoodide täitmist (RCE), mis võib hõlmata ohvri iPhone'i halduskontrolli. Ehkki äsja avastatud turvaauke on veel ametlikult kinnitatud, kasutatakse looduses ära. Ilmselt on Apple turvavigadest teadlik ja eeldatavasti vabastab värskenduse sama plaastri jaoks.
Äsja avastatud ja aktiivselt kasutatud turvaaugud on iPhone'i seadme kohal olev Apple iOS 6 haavatav:
Äsja avastatud Apple iOS operatsioonisüsteemi turvanõrkused võimaldavad ründajal ohvri seadet eemalt lüüa. Pealegi võimaldavad vead ründajatel pääseda iOS-i seadmele juurde ilma kasutaja toiminguteta. Enamik rünnakuid nõuab rünnaku alustamiseks kasutaja toiminguid, näiteks lingil klõpsamist, mõne rakenduse installimist või dokumendi avamist. Kuid sel juhul saab ründaja lihtsalt saata e-kirju, mis tarbivad märkimisväärselt palju mälu, ja saada seadmes koodi kaugkäivitamise võimalusi.
Day-Zero haavatavused ja rünnakud;
Turvaintsidendid https://t.co/KAez4d9890
- Dr. Ezer Osei Yeboah-Boateng (@DrYeboahBoateng) 22. aprill 2020
Tõsine iOS-i turvanõrkused kasutajate suhtlemiseta avastasid turvafirma ZecOps. Ettevõtte teadlased väidavad, et ründajad kasutavad neid haavatavusi juba looduses. Sihtmärke tuvastamata väitsid teadlased, et äsja avastatud turvavigu on edukalt kasutatud järgmiste isikute sihtimiseks:
- Põhja-Ameerika Fortune 500 organisatsiooni isikud
- Jaapani vedaja juht
- VIP Saksamaalt
- MSSP-d Saudi Araabiast ja Iisraelist
- Ajakirjanik Euroopas
- Kahtlustatav: Šveitsi ettevõtte juht
iOS on täielikult suletud lähtekoodiga operatsioonisüsteem, mille on välja töötanud ja arendanud Apple. See on rangelt kontrollitud ja reguleeritud. OS pole nii avatud kui Google Android. IOS-i uusim iteratsioon on iOS 13. Need turvavead mõjutavad siiski kõiki seadmeid, milles töötab iOS 6 või uuem versioon. Haavatavusi uurivad turvauurijad on toonud välja viisid, kuidas ründajad saavad ohustada Apple'i töötavat Apple iOS-i. Värsketes iOS-i versioonides saab rünnaku korraldada järgmistel viisidel:
- Rünnak iOS 13-le: abita (/ nullklõpsuga) rünnakud iOS 13-le, kui taustal avatakse Mail-rakendus
- Rünnak iOS 12-le: Rünnak nõuab e-posti klõpsamist. Rünnak käivitatakse enne sisu renderdamist. Kasutaja ei märka meilis endas midagi anomaalset
- Abita rünnakud iOS 12-le saab käivitada (teise nimega nullklõps), kui ründaja kontrollib meiliserverit
Teadlased avastavad iOS-i Maili rakenduses paari turvaauke, Apple töötab plaastri kallal https://t.co/paZq1Jd4vc pic.twitter.com/AA8ZUVcbev
- i telefoniarst (@Mr_iPhoneDoctor) 22. aprill 2020
Apple parandab eelseisva värskenduse turvaauke:
Teadlased väidavad, et Apple on neist iOS-i turvavigadest teadlik. Nad lisasid, et Apple peaks eeldatavasti välja andma iOS-i täiendava värskenduse, mis sisaldab parandust, mis parandab haavatavused. Kuni Apple värskenduse välja ei anna, on siiski võimalus vältida turvavigade sihtimist või ohvriks sattumist.
Küberturvalisuse käivitusprogramm ZecOps leidis pärast nullide päevade iO-le suunatud rünnakute avastamist kaks nullipäeva haavatavust, mis mõjutasid iPhone'i ja iPadi seadmeid @BleepinComputer #turvalisus #tech # KolmapäevTarkus https://t.co/2lHdxMOmfh
- AJ Durling (@Gurgling_MrD) 22. aprill 2020
Teadlased soovitavad Apple Maili rakendust täielikult vältida. See on meiliplatvorm, mille Apple on välja töötanud, arendanud ja hooldanud. Muide, meilirakendus toetab kolmandate osapoolte e-posti kontosid nagu Gmail, Outlook jne. Seega, kuni Apple veaparanduse värskenduse välja annab, võivad kasutajad sõltuda rakendusest Microsoft Outlook või muudest sarnastest e-posti klientidest.
[Uuenda] Väidetavalt on Apple välja andnud värskenduse Apple Mail Appis olevate kahe turvanõrkuse lappimiseks.
Sildid õunApple parandab iOS-i 13.4.5 beetaversioonis kahte turvaprogrammi Mail App mõjutavat turvaauku https://t.co/PoNsQqNPyL AAPL pic.twitter.com/fRUtjTUMNs
- MacHash (@MacHashNews) 22. aprill 2020
