Det ser ud til, at der er en bølge af iOS og macOS-sårbarheder bliver afdækket af sikkerhedsforskere. Den seneste vedrører automatisk opkaldsoptager, et iOS-opkaldsoptagelsesprogram, der indeholdt en fejl, der kunne give adgang til brugernes samtaler. Det eneste, der er nødvendigt for at udnytte fejlen, er at angive det korrekte telefonnummer.
Fejl i automatisk appoptager iOS-app
Sårbarheden blev rapporteret af sikkerhedsforsker Anand Prakash, og er allerede rettet. Selve appen er ret populær blandt iPhone-brugere, og det er rangeret som nummer 15 i Apple Store's Business-kategori. Dens popularitet og udbredte anvendelse gør bugens påvirkning betydelig.
Hvordan blev Automatic Call Recorder's bug opdaget?
Prakash og PingSafes intelligens for intelligensopdagelse opdagede sårbarheden, mens de udførte open source-intelligens på tværs af mobilapps i forskellige kategorier. “PingSafe AI dekompilerede IPA-filen og fandt ud af S3-skovle, værtsnavne og andre følsomme detaljer, der bruges af applikationen,” hedder det i rapporten.
Hvad tillod sårbarheden?
Fejlen kunne gøre det muligt for trusselaktører at aflytte brugernes opkaldsoptagelser fra appens skyopbevaringsskovl. Et uautentificeret API-slutpunkt lækkede URL'en til skylagring.
I tekniske termer, fejlen var i “/hente-synke-optagelser.php” API-slutpunkt for “Automatisk opkaldsoptager” ansøgning. "En angriber kan videregive en anden brugers nummer i optagelsesanmodningen, og API'en vil svare med optagelses-url for lagringsspanden uden nogen godkendelse. Det lækker også offerets hele opkaldshistorik og de numre, som opkaldene blev foretaget på,”Forklarer rapporten.
Bare få dage siden, vi rapporterede eksistensen af en ny sårbarhed, der påvirker iOS, MacOS, watchOS, og Safari-browser: CVE-2021-1844. Sårbarheden blev opdaget af to forskere: Clément Lecigne fra Googles trusselsanalysegruppe og Alison Huffman fra Microsoft Browser Vulnerability Research. Udløst af et hukommelseskorruptionsproblem, fejlen kan forårsage vilkårlig udførelse af kode under behandling af specielt udformet webindhold. Problemet blev løst med forbedret validering.
Du kan også læse vores oversigt over Apples privatliv indtil videre i 2021.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: