chaiOS-kwetsbaarheid - Eenvoudige koppeling zorgt ervoor dat iPhone vastloopt

Onlangs werd een kwetsbaarheid ontdekt in iOS, wat leidt tot het mislukken van het programma "Berichten", gevolgd door een "bevriezing" en een herstart van de smartphone. Dit gebeurt wanneer je een bericht op je smartphone ontvangt met een speciaal ontworpen url-link.

De bug werd ontdekt door ontwikkelaar Abraham Masri, die het "chaiOS" noemde. De essentie van de kwetsbaarheid is dat de toepassing "Berichten" bij het verzenden van een url-link de pagina vooraf laadt en het voorbeeld ervan weergeeft. Masri zegt dat hij een webpagina heeft gemaakt die op GitHub wordt gehost en deze heeft gevuld met honderdduizenden tekens. De programmeur gaat ervan uit dat de crash van het programma wordt veroorzaakt door een poging om een ​​heleboel onnodige informatie vooraf te laden, waardoor het besturingssysteem later crasht en leidt tot vastlopen en opnieuw opstarten.

Afgaande op gebruikersrapporten heeft de kwetsbaarheid gemengde effecten. Maar de meest voorkomende daarvan leiden tot de "crash" van het programma "Berichten", systeemremmen, volledige bevriezing van het apparaat en soms tot "respring" (iOS laadt de SpringBoard-software opnieuw en brengt de gebruiker terug naar het vergrendelscherm).

De ontwikkelaar heeft chaiOS getest op iPhone X en iPhone 5S. Vervolgens meldde hij dat de kwetsbaarheid iOS treft van versie 10.0 tot versie 11.2.5 beta 5. De kwetsbaarheid kan ervoor zorgen dat "Berichten" ook crasht op macOS, dus MacBook-bezitters moeten ook hun apparaten beveiligen.

Gelukkig is het op dit moment niet zo eenvoudig om werkende url-kopieën te vinden. Nadat de kwaadaardige link op GitHub was geplaatst en door een groot aantal derden was gekopieerd, besloot de site deze te verwijderen. Masri zelf gaat de werkende versie van de pagina niet nog een keer uploaden. De pre-upload op GitHub is alleen ter attentie gedaan Apple.

Voor de veiligheid van onze lezers publiceren we een korte handleiding over het beschermen van iOS-apparaten:

1. Het blokkeren van het domein van de site waar de kwetsbaarheid zich bevindt. Als de link naar een GitHub-bron leidt, ga dan naar Instellingen - Safari - Basis - Beperkingen - Beperkingen inschakelen (voer een 4-cijferig beperkingswachtwoord in) - Websites - Beperk inhoud voor volwassenen - (Subsectie "Nooit toestaan") voeg een site toe - GitHub .io.
2. Verwijder snel een bericht wanneer het is ontvangen. Er zijn gemengde gebruikersrecensies over de effectiviteit van deze methode. Het hangt allemaal af van hoe snel de gebruiker het bericht met de kwaadaardige link kan verwijderen.
3. Reset iPhone naar fabrieksinstellingen. Het is een laatste redmiddel, omdat na gebruik alle niet-opgeslagen informatie wordt verwijderd. En als u geen reservekopieën van het systeem hebt, kunt u deze maatregel het beste opgeven.
4. Wachten op pleister. Helaas is het niet bekend of het bedrijf werkt aan het verhelpen van dit probleem, aangezien officiële opmerkingen van Apple totdat het arriveerde.

Deze categorie kwetsbaarheden is niet nieuw voor iPhone-firmware. Dergelijke kwaadaardige koppelingen zorgden ervoor dat de smartphones van het bedrijf in 2015 en 2016 vastliepen. Gezien het feit dat er eind vorig jaar een groot aantal firmware-fixes van het bedrijf was Apple, valt nog te hopen dat het bedrijf in het komende jaar alerter zal worden en beter zal reageren op beveiligingsproblemen.

bron: theverge.com