Vulnerabilidade chaiOS - Link simples faz com que o iPhone congele

Outro dia, foi descoberta uma vulnerabilidade no iOS, que leva à falha do programa "Mensagens", seguida de um "congelamento" e reinicialização do smartphone. Isso acontece quando você recebe uma mensagem em seu smartphone com um link de url especialmente projetado.

O bug foi descoberto pelo desenvolvedor Abraham Masri, que o chamou de “chaiOS”. A essência da vulnerabilidade é que o aplicativo "Mensagens", ao enviar um link de url, pré-carrega a página e exibe sua visualização. Masri diz que criou uma página da web hospedada no GitHub e a preencheu com centenas de milhares de caracteres. O programador assume que a falha do programa é causada por uma tentativa de pré-carregar um monte de informações desnecessárias, o que mais tarde causa a falha do sistema operacional e leva a congelamentos e reinicializações.

A julgar pelos relatórios dos usuários, a vulnerabilidade tem efeitos mistos. Mas os mais frequentes deles levam ao “travamento” do programa “Mensagens”, freios do sistema, congelamento total do dispositivo e, às vezes, “respring” (o iOS recarrega o software SpringBoard e retorna o usuário à tela de bloqueio).

O desenvolvedor testou o chaiOS no iPhone X e iPhone 5S. Ele então relatou que a vulnerabilidade afeta o iOS da versão 10.0 à versão 11.2.5 beta 5. A vulnerabilidade pode fazer com que “Mensagens” também travem no macOS, portanto, os proprietários de MacBook também devem proteger seus dispositivos.

Felizmente, encontrar cópias de URL de trabalho não é tão fácil no momento. Depois que o link malicioso foi postado no GitHub e copiado por um grande número de terceiros, o site decidiu removê-lo. O próprio Masri não vai carregar a versão de trabalho da página novamente. O pré-upload no GitHub foi feito apenas para fins de atenção Apple.

Para a segurança de nossos leitores, publicamos um pequeno guia sobre como proteger dispositivos iOS:

1. Bloqueando o domínio do site onde a vulnerabilidade está localizada. Se o link levar a um recurso do GitHub, vá para Configurações - Safari - Básico - Restrições - Habilitar Restrições (digite qualquer senha de restrição de 4 dígitos) - Sites - Limitar Conteúdo Adulto - (Subseção "Nunca Permitir") adicione um site - GitHub .io.
2. Exclua rapidamente uma mensagem quando ela for recebida. Existem análises mistas de usuários sobre a eficácia desse método. Tudo depende da rapidez com que o usuário pode excluir a mensagem com o link malicioso.
3. Redefina o iPhone para as configurações de fábrica. É um último recurso, pois após seu uso, todas as informações não salvas são excluídas. E se você não tiver cópias de backup do sistema, é melhor abandonar essa medida.
4. Aguardando remendo. Infelizmente, não se sabe se a empresa está trabalhando para corrigir esse problema, pois comentários oficiais de Apple até que chegou.

Esta categoria de vulnerabilidades não é nova no firmware do iPhone. Esses links maliciosos fizeram com que os smartphones da empresa congelassem em 2015 e 2016. Dado o fato de que no final do ano passado houve um grande número de correções de firmware da empresa Apple, resta esperar que a empresa se torne mais atenta e responsiva às questões de segurança no próximo ano.

fonte: theverge.com