chaiOS ievainojamība — vienkārša saite izraisa iPhone sasalšanu

Citu dienu iOS tika atklāta ievainojamība, kas noved pie programmas "Ziņojumi" kļūmes, kam sekoja viedtālruņa "iesaldēšana" un pārstartēšana. Tas notiek, kad viedtālrunī saņemat ziņojumu ar īpaši izstrādātu url saiti.

Kļūdu atklāja izstrādātājs Abraham Masri, kurš to nosauca par “chaiOS”. Ievainojamības būtība ir tāda, ka lietojumprogramma "Ziņojumi", nosūtot url saiti, iepriekš ielādē lapu un parāda tās priekšskatījumu. Masri saka, ka izveidojis tīmekļa lapu, kas mitināts vietnē GitHub, un aizpildījis to ar simtiem tūkstošu rakstzīmju. Programmētājs pieņem, ka programmas avāriju izraisa mēģinājums iepriekš ielādēt nevajadzīgas informācijas kopumu, kas vēlāk izraisa OS avāriju un noved pie iesaldēšanas un atsāknēšanas.

Spriežot pēc lietotāju ziņojumiem, ievainojamībai ir dažādas sekas. Bet biežākie no tiem noved pie programmas "Ziņojumi" "avārijas", sistēmas bremzēm, ierīces pilnīgas sasalšanas un dažreiz arī "atspirgšanas" (iOS pārlādē SpringBoard programmatūru un atgriež lietotāju bloķēšanas ekrānā).

Izstrādātājs pārbaudīja chaiOS iPhone X un iPhone 5S. Pēc tam viņš ziņoja, ka ievainojamība ietekmē iOS no 10.0 versijas līdz 11.2.5 beta versijai 5. Ievainojamība var izraisīt “Messages” avāriju arī operētājsistēmā MacOS, tāpēc arī MacBook īpašniekiem ir jāaizsargā savas ierīces.

Par laimi, pašlaik nav tik vienkārši atrast strādājošas URL kopijas. Pēc tam, kad ļaunprātīgā saite tika ievietota vietnē GitHub un to nokopēja daudzas trešās puses, vietne nolēma to noņemt. Pats Masri negrasās atkārtoti augšupielādēt lapas darba versiju. Iepriekšēja augšupielāde vietnē GitHub tika veikta tikai uzmanības nolūkos Apple.

Mūsu lasītāju drošībai mēs publicējam īsu rokasgrāmatu par iOS ierīču aizsardzību:

1. Vietnes domēna bloķēšana, kurā atrodas ievainojamība. Ja saite novirza uz GitHub resursu, dodieties uz Iestatījumi - Safari - Pamata - Ierobežojumi - Iespējot ierobežojumus (ievadiet jebkuru 4 ciparu ierobežojuma paroli) - Vietnes - Ierobežot pieaugušajiem paredzēto saturu - (apakšsadaļā "Nekad neatļaut") pievienojiet vietni - GitHub .io.
2. Ātri izdzēsiet ziņojumu, kad tas ir saņemts. Lietotāju atsauksmes par šīs metodes efektivitāti ir dažādas. Tas viss ir atkarīgs no tā, cik ātri lietotājs var izdzēst ziņojumu ar ļaunprātīgo saiti.
3. Atiestatiet iPhone uz rūpnīcas iestatījumiem. Tas ir pēdējais līdzeklis, jo pēc tās izmantošanas visa nesaglabātā informācija tiek dzēsta. Un, ja jums nav sistēmas rezerves kopiju, vislabāk ir atteikties no šī pasākuma.
4. Gaidu ielāpu. Diemžēl nav zināms, vai uzņēmums strādā pie šīs problēmas novēršanas, jo oficiālie komentāri no Apple līdz tas ieradās.

Šī ievainojamību kategorija iPhone programmaparatūrai nav jauna. Šādas ļaunprātīgas saites izraisīja uzņēmuma viedtālruņu iesaldēšanu vēl 2015. un 2016. gadā. Ņemot vērā faktu, ka pagājušā gada beigās uzņēmums veica milzīgu skaitu programmaparatūras labojumu Apple, atliek cerēt, ka tuvākā gada laikā uzņēmums kļūs uzmanīgāks un atsaucīgāks pret drošības jautājumiem.

Dzherelo: theverge.com