Chyba zabezpečení chaiOS – Jednoduchý odkaz způsobí zamrznutí iPhonu

Onehdy byla v iOS objevena zranitelnost, která vede k selhání programu „Zprávy“, po kterém následuje „zamrznutí“ a restart smartphonu. K tomu dojde, když na svůj smartphone obdržíte zprávu se speciálně navrženým odkazem URL.

Chybu objevil vývojář Abraham Masri, který ji pojmenoval „chaiOS“. Podstatou zranitelnosti je, že aplikace „Zprávy“ při odesílání url odkazu předběžně načte stránku a zobrazí její náhled. Masri říká, že vytvořil webovou stránku hostovanou na GitHubu a naplnil ji stovkami tisíc znaků. Programátor předpokládá, že pád programu je způsoben pokusem o přednačtení hromady nepotřebných informací, což později způsobí pád operačního systému a vede k zamrznutí a restartování.

Soudě podle zpráv uživatelů má zranitelnost smíšené účinky. Nejčastější z nich však vedou k „pádu“ programu „Zprávy“, brzdění systému, úplnému zamrznutí zařízení a někdy i „respringu“ (iOS znovu načte software SpringBoard a vrátí uživatele na zamykací obrazovku).

Vývojář testoval chaiOS na iPhone X a iPhone 5S. Poté oznámil, že zranitelnost se týká iOS od verze 10.0 do verze 11.2.5 beta 5. Tato zranitelnost může způsobit selhání „Zprávy“ i na macOS, takže majitelé MacBooků by také měli svá zařízení zabezpečit.

Naštěstí najít funkční kopie URL není v tuto chvíli tak snadné. Poté, co byl škodlivý odkaz zveřejněn na GitHubu a zkopírován velkým počtem třetích stran, se web rozhodl jej odstranit. Sám Masri se nechystá znovu nahrát pracovní verzi stránky. Předběžné nahrání na GitHub bylo provedeno pouze pro účely pozornosti Apple.

Pro bezpečnost našich čtenářů publikujeme krátký návod na ochranu iOS zařízení:

1. Blokování domény webu, kde se chyba zabezpečení nachází. Pokud odkaz vede na zdroj GitHub, přejděte na Nastavení - Safari - Základní - Omezení - Povolit omezení (zadejte libovolné 4místné heslo pro omezení) - Webové stránky - Omezit obsah pro dospělé - (Podsekce "Nikdy nepovolit" ) přidat web - GitHub .io.
2. Rychle odstraňte zprávu, když je přijata. Existují smíšené uživatelské recenze týkající se účinnosti této metody. Vše závisí na tom, jak rychle uživatel dokáže smazat zprávu se škodlivým odkazem.
3. Resetujte iPhone do továrního nastavení. Je to poslední možnost, protože po jejím použití jsou všechny neuložené informace smazány. A pokud nemáte záložní kopie systému, pak je nejlepší toto opatření opustit.
4. Čekání na patch. Bohužel není známo, zda společnost pracuje na nápravě tohoto problému, protože oficiální komentáře od Apple dokud nepřišlo.

Tato kategorie zranitelností není ve firmwaru iPhone nová. Takové škodlivé odkazy způsobily, že smartphony společnosti zamrzly v letech 2015 a 2016. Vzhledem k tomu, že na konci loňského roku bylo od společnosti obrovské množství oprav firmwaru AppleZbývá doufat, že společnost bude v nadcházejícím roce pozornější a pohotovější k bezpečnostním problémům.

Dzherelo: theverge.com