Vulnérabilité chaiOS - Un lien simple provoque le blocage de l'iPhone

L'autre jour, une vulnérabilité a été découverte dans iOS, ce qui entraîne l'échec du programme "Messages", suivi d'un "gel" et d'un redémarrage du smartphone. Cela se produit lorsque vous recevez un message sur votre smartphone avec un lien URL spécialement conçu.

Le bogue a été découvert par le développeur Abraham Masri, qui l'a nommé "chaiOS". L'essence de la vulnérabilité est que l'application "Messages", lors de l'envoi d'un lien url, précharge la page et affiche son aperçu. Masri dit qu'il a créé une page Web hébergée sur GitHub et l'a remplie de centaines de milliers de caractères. Le programmeur suppose que le plantage du programme est causé par une tentative de précharger un tas d'informations inutiles, ce qui provoque plus tard le plantage du système d'exploitation et entraîne des blocages et des redémarrages.

À en juger par les rapports des utilisateurs, la vulnérabilité a des effets mitigés. Mais les plus fréquents d'entre eux conduisent au « crash » du programme « Messages », aux freins du système, au gel complet de l'appareil, et parfois au « respring » (iOS recharge le logiciel SpringBoard et renvoie l'utilisateur à l'écran de verrouillage).

Le développeur a testé chaiOS sur iPhone X et iPhone 5S. Il a ensuite signalé que la vulnérabilité affectait iOS de la version 10.0 à la version 11.2.5 beta 5. La vulnérabilité peut également entraîner le blocage de "Messages" sur macOS. Les propriétaires de MacBook doivent donc également sécuriser leurs appareils.

Heureusement, trouver des copies d'URL fonctionnelles n'est pas si facile pour le moment. Après que le lien malveillant a été publié sur GitHub et copié par un grand nombre de tiers, le site a décidé de le supprimer. Masri lui-même ne téléchargera plus la version de travail de la page. Le pré-téléchargement sur GitHub a été effectué à des fins d'attention uniquement Apple.

Pour la sécurité de nos lecteurs, nous publions un petit guide sur la protection des appareils iOS :

1. Blocage du domaine du site où se trouve la vulnérabilité. Si le lien mène à une ressource GitHub, allez dans Paramètres - Safari - Basique - Restrictions - Activer les restrictions (entrez n'importe quel mot de passe de restriction à 4 chiffres) - Sites Web - Limiter le contenu pour adultes - (Sous-section "Ne jamais autoriser" ) ajoutez un site - GitHub .io.
2. Supprimer rapidement un message lorsqu'il est reçu. Les avis des utilisateurs concernant l'efficacité de cette méthode sont mitigés. Tout dépend de la rapidité avec laquelle l'utilisateur peut supprimer le message avec le lien malveillant.
3. Réinitialisez l'iPhone aux paramètres d'usine. C'est un dernier recours, car après son utilisation, toutes les informations non enregistrées sont supprimées. Et si vous ne disposez pas de copies de sauvegarde du système, il est préférable d'abandonner cette mesure.
4. En attente de correctif. Malheureusement, on ne sait pas si l'entreprise travaille à corriger ce problème, car les commentaires officiels de Apple jusqu'à ce qu'il arrive.

Cette catégorie de vulnérabilités n'est pas nouvelle dans le firmware de l'iPhone. Ces liens malveillants ont provoqué le gel des smartphones de l'entreprise en 2015 et 2016. Étant donné qu'à la fin de l'année dernière, il y avait un grand nombre de correctifs de firmware de la société Apple, il reste à espérer que l'entreprise deviendra plus attentive et réactive aux questions de sécurité dans l'année à venir.

Source: theverge.com