I dispositivi di localizzazione degli oggetti personali di Apple, noto come AirTag, può essere sfruttato per distribuire malware, causa clickjacking, rubare credenziali utente e token, a causa di una vulnerabilità XSS zero-day.
AirTag è un accessorio per iPhone che fornisce un modo privato e sicuro per individuare facilmente gli elementi, secondo Apple.
XSS memorizzato zero-day nell'AirTag di Apple
L'exploit è possibile a causa di un problema di cross-site-scripting archiviato senza patch nella funzione Lost Mode di AirTag, che potrebbe causare vari attacchi contro gli utenti. Questo tipo di attacco, noto anche come XSS persistente, si verifica quando uno script dannoso viene iniettato in un'applicazione Web esposta.
L'unica condizione necessaria per sfruttare il difetto è che l'utente visiti una pagina web appositamente predisposta.
“La "Modalità smarrita" di Apple consente a un utente di contrassegnare il proprio Airtag come mancante se lo ha smarrito.
“Questo genera un unico https://pagina trovata.apple.com, che contiene il numero di serie dell'Airtag, e il numero di telefono e il messaggio personale del proprietario dell'Airtag. Se un utente iPhone o Android scopre un Airtag mancante, possono scansionarlo (tramite NFC) con il loro dispositivo, che aprirà l'unicità dell'Airtag https://trovato.apple.com pagina sul proprio dispositivo,” ha detto Bobby Rauch, un ricercatore di sicurezza indipendente, in un post Media.
Il nocciolo del problema è che queste pagine non hanno protezione per XSS archiviati, consentire a un utente malintenzionato di iniettare codice dannoso in AirTag tramite il campo del numero di telefono della modalità smarrito.
Per esempio, l'attaccante può distribuire il codice XSS per reindirizzare l'utente alla sua falsa pagina iCloud, caricato con un keylogger per acquisire le credenziali dell'utente.
"Una vittima crederà che gli venga chiesto di accedere a iCloud in modo da poter entrare in contatto con il proprietario dell'AirTag, quando in realtà, l'autore dell'attacco li ha reindirizzati a una pagina di dirottamento delle credenziali. Da quando gli AirTag sono stati rilasciati di recente, la maggior parte degli utenti non sa che l'accesso al https://trovato.apple.com la pagina non richiede affatto l'autenticazione,” ha aggiunto Rauch.
Maggiori dettagli sui possibili attacchi AirTag sono disponibili in il post del ricercatore.
All'inizio di questo mese, Apple ha risolto tre difetti del giorno zero sfruttato in natura: CVE-2021-30869, CVE-2021-30860, CVE-2021-30858
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: