ثغرة أمنية في chaiOS - يؤدي الارتباط البسيط إلى تجميد iPhone

قبل أيام ، تم اكتشاف ثغرة أمنية في نظام iOS ، مما أدى إلى فشل برنامج "الرسائل" ، يليه "تجميد" وإعادة تشغيل الهاتف الذكي. يحدث هذا عندما تتلقى رسالة على هاتفك الذكي تحتوي على رابط عنوان url مصمم خصيصًا.

تم اكتشاف الخطأ من قبل المطور أبراهام المصري ، الذي أطلق عليه اسم "chaiOS". يتمثل جوهر الثغرة الأمنية في أن تطبيق "الرسائل" ، عند إرسال رابط عنوان URL ، يقوم بتحميل الصفحة مسبقًا ويعرض معاينتها. يقول المصري إنه أنشأ صفحة ويب مستضافة على GitHub وملأها بمئات الآلاف من الشخصيات. يفترض المبرمج أن تعطل البرنامج ناتج عن محاولة تحميل مجموعة من المعلومات غير الضرورية مسبقًا ، مما يؤدي لاحقًا إلى تعطل نظام التشغيل ويؤدي إلى التجميد وإعادة التشغيل.

إذا حكمنا من خلال تقارير المستخدمين، فإن الثغرة الأمنية لها تأثيرات مختلطة. لكن أكثرها شيوعًا يؤدي إلى "تعطل" برنامج "الرسائل"، وفرامل النظام، والتجميد الكامل للجهاز، وأحيانًا إلى "respring" (يقوم iOS بإعادة تحميل برنامج SpringBoard ويعيد المستخدم إلى شاشة القفل).

اختبر المطور chaiOS على iPhone X و iPhone 5S. ثم أفاد بأن الثغرة تؤثر على نظام التشغيل iOS من الإصدار 10.0 إلى الإصدار 11.2.5 بيتا 5. يمكن أن تتسبب الثغرة الأمنية في تعطل "الرسائل" على نظام macOS أيضًا ، لذلك يجب على مالكي MacBook أيضًا تأمين أجهزتهم.

لحسن الحظ ، فإن العثور على نُسخ عناوين url العاملة ليس بهذه السهولة في الوقت الحالي. بعد نشر الرابط الضار على GitHub ونسخه بواسطة عدد كبير من الأطراف الثالثة ، قرر الموقع إزالته. المصري نفسه لن يقوم بتحميل نسخة العمل من الصفحة مرة أخرى. تم التحميل المسبق على GitHub لأغراض الاهتمام فقط Apple.

من أجل سلامة قرائنا ، ننشر دليلًا موجزًا ​​حول حماية أجهزة iOS:

1. حظر مجال الموقع حيث توجد الثغرة الأمنية. إذا كان الرابط يؤدي إلى مورد GitHub ، فانتقل إلى الإعدادات - Safari - أساسي - القيود - تمكين القيود (أدخل أي كلمة مرور للتقييد مكونة من 4 أرقام) - مواقع الويب - تقييد محتوى البالغين - (القسم الفرعي "عدم السماح أبدًا") أضف موقعًا - GitHub .io.
2. احذف رسالة بسرعة عند استلامها. هناك مراجعات مستخدمين مختلطة فيما يتعلق بفعالية هذه الطريقة. كل هذا يتوقف على مدى سرعة المستخدم في حذف الرسالة التي تحتوي على رابط ضار.
3. إعادة تعيين iPhone إلى إعدادات المصنع. هذا هو الملاذ الأخير ، لأنه بعد استخدامه ، يتم حذف جميع المعلومات غير المحفوظة. وإذا لم يكن لديك نسخ احتياطية للنظام ، فمن الأفضل التخلي عن هذا الإجراء.
4. في انتظار التصحيح. لسوء الحظ ، من غير المعروف ما إذا كانت الشركة تعمل على تصحيح هذه المشكلة ، منذ التعليقات الرسمية من Apple حتى وصلت.

هذه الفئة من نقاط الضعف ليست جديدة على البرامج الثابتة لـ iPhone. تسببت هذه الروابط الخبيثة في تجميد الهواتف الذكية للشركة مرة أخرى في عامي 2015 و 2016. بالنظر إلى حقيقة أنه في نهاية العام الماضي كان هناك عدد كبير من إصلاحات البرامج الثابتة من الشركة Apple، لا يزال من المأمول أن تصبح الشركة أكثر انتباهاً واستجابةً للقضايا الأمنية في العام المقبل.

مصدر: theverge.com