Ευπάθεια chaiOS - Η απλή σύνδεση προκαλεί το iPhone να παγώσει

Τις προάλλες ανακαλύφθηκε μια ευπάθεια στο iOS, η οποία οδηγεί στην αποτυχία του προγράμματος «Μηνύματα» και στη συνέχεια σε «πάγωμα» και επανεκκίνηση του smartphone. Αυτό συμβαίνει όταν λαμβάνετε ένα μήνυμα στο smartphone σας με έναν ειδικά σχεδιασμένο σύνδεσμο url.

Το σφάλμα ανακαλύφθηκε από τον προγραμματιστή Abraham Masri, ο οποίος το ονόμασε "chaiOS". Η ουσία της ευπάθειας είναι ότι η εφαρμογή "Messages", κατά την αποστολή ενός συνδέσμου url, προφορτώνει τη σελίδα και εμφανίζει την προεπισκόπηση της. Ο Masri λέει ότι δημιούργησε μια ιστοσελίδα που φιλοξενείται στο GitHub και τη γέμισε με εκατοντάδες χιλιάδες χαρακτήρες. Ο προγραμματιστής υποθέτει ότι η κατάρρευση του προγράμματος προκαλείται από μια προσπάθεια προφόρτωσης μιας δέσμης περιττών πληροφοριών, η οποία αργότερα προκαλεί τη διακοπή λειτουργίας του λειτουργικού συστήματος και οδηγεί σε πάγωμα και επανεκκίνηση.

Κρίνοντας από τις αναφορές χρηστών, η ευπάθεια έχει μικτά αποτελέσματα. Αλλά οι πιο συχνές από αυτές οδηγούν σε "κραχμή" του προγράμματος "Messages", φρένα συστήματος, πλήρες πάγωμα της συσκευής και μερικές φορές σε "respring" (το iOS επαναφορτώνει το λογισμικό SpringBoard και επιστρέφει τον χρήστη στην οθόνη κλειδώματος).

Ο προγραμματιστής δοκίμασε το chaiOS σε iPhone X και iPhone 5S. Στη συνέχεια ανέφερε ότι η ευπάθεια επηρεάζει το iOS από την έκδοση 10.0 έως την έκδοση 11.2.5 beta 5. Η ευπάθεια μπορεί να προκαλέσει τη διακοπή λειτουργίας του "Messages" και στο macOS, επομένως οι κάτοχοι MacBook θα πρέπει επίσης να ασφαλίζουν τις συσκευές τους.

Ευτυχώς, η εύρεση λειτουργικών αντιγράφων url δεν είναι τόσο εύκολη αυτή τη στιγμή. Μετά τη δημοσίευση του κακόβουλου συνδέσμου στο GitHub και την αντιγραφή του από μεγάλο αριθμό τρίτων, ο ιστότοπος αποφάσισε να τον αφαιρέσει. Ο ίδιος ο Masri δεν πρόκειται να ανεβάσει ξανά την έκδοση εργασίας της σελίδας. Η προ-φόρτωση στο GitHub έγινε μόνο για λόγους προσοχής Apple.

Για την ασφάλεια των αναγνωστών μας, δημοσιεύουμε έναν σύντομο οδηγό για την προστασία συσκευών iOS:

1. Αποκλεισμός του τομέα του ιστότοπου όπου βρίσκεται η ευπάθεια. Εάν ο σύνδεσμος οδηγεί σε έναν πόρο του GitHub, τότε μεταβείτε στις Ρυθμίσεις - Safari - Βασικές - Περιορισμοί - Ενεργοποίηση περιορισμών (εισαγάγετε οποιονδήποτε κωδικό πρόσβασης περιορισμού 4 ψηφίων) - Ιστότοποι - Περιορίστε περιεχόμενο για ενηλίκους - (Υποενότητα "Να μην επιτρέπεται" ) προσθέστε έναν ιστότοπο - GitHub .io.
2. Διαγράψτε γρήγορα ένα μήνυμα όταν το λάβετε. Υπάρχουν μικτές κριτικές χρηστών σχετικά με την αποτελεσματικότητα αυτής της μεθόδου. Όλα εξαρτώνται από το πόσο γρήγορα ο χρήστης μπορεί να διαγράψει το μήνυμα με τον κακόβουλο σύνδεσμο.
3. Επαναφέρετε το iPhone στις εργοστασιακές ρυθμίσεις. Είναι η τελευταία λύση, αφού μετά τη χρήση του διαγράφονται όλες οι μη αποθηκευμένες πληροφορίες. Και αν δεν έχετε αντίγραφα ασφαλείας του συστήματος, τότε είναι καλύτερο να εγκαταλείψετε αυτό το μέτρο.
4. Αναμονή για patch. Δυστυχώς, δεν είναι γνωστό εάν η εταιρεία εργάζεται για τη διόρθωση αυτού του προβλήματος, από επίσημα σχόλια από Apple μέχρι που έφτασε.

Αυτή η κατηγορία τρωτών σημείων δεν είναι νέα για το υλικολογισμικό του iPhone. Τέτοιοι κακόβουλοι σύνδεσμοι προκάλεσαν το πάγωμα των smartphone της εταιρείας το 2015 και το 2016. Δεδομένου του γεγονότος ότι στο τέλος του περασμένου έτους υπήρχε ένας τεράστιος αριθμός επιδιορθώσεων υλικολογισμικού από την εταιρεία Apple, μένει να ελπίζουμε ότι η εταιρεία θα γίνει πιο προσεκτική και ανταποκρινόμενη σε ζητήματα ασφάλειας το επόμενο έτος.

Πηγή: theverge.com