Ranljivost chaiOS - preprosta povezava povzroči, da iPhone zamrzne

Pred dnevi je bila v iOS-u odkrita ranljivost, ki vodi do okvare programa "Messages", čemur sledi "zamrznitev" in ponovni zagon pametnega telefona. To se zgodi, ko na pametni telefon prejmete sporočilo s posebej oblikovano URL povezavo.

Napako je odkril razvijalec Abraham Masri, ki jo je poimenoval "chaiOS". Bistvo ranljivosti je v tem, da aplikacija "Messages" ob pošiljanju url povezave prednaloži stran in prikaže njen predogled. Masri pravi, da je ustvaril spletno stran, ki gostuje na GitHubu, in jo napolnil s stotisoči znakov. Programer predvideva, da je zrušitev programa posledica poskusa prednalaganja kopice nepotrebnih informacij, kar kasneje povzroči zrušitev operacijskega sistema in vodi do zamrznitev in ponovnih zagonov.

Sodeč po poročilih uporabnikov ima ranljivost mešane učinke. Toda najpogostejši med njimi vodijo do "zrušitve" programa "Sporočila", sistemskih zavor, popolne zamrznitve naprave in včasih do "ponovnega zagona" (iOS znova naloži programsko opremo SpringBoard in vrne uporabnika na zaklenjeni zaslon).

Razvijalec je preizkusil chaiOS na iPhone X in iPhone 5S. Nato je poročal, da ranljivost vpliva na iOS od različice 10.0 do različice 11.2.5 beta 5. Ranljivost lahko povzroči, da se »Messages« zruši tudi v sistemu macOS, zato bi morali lastniki MacBook-ov zaščititi tudi svoje naprave.

Na srečo iskanje delujočih kopij URL-jev trenutno ni tako enostavno. Potem ko je bila zlonamerna povezava objavljena na GitHubu in jo je kopiralo veliko število tretjih oseb, se je spletno mesto odločilo, da jo odstrani. Masri sam ne bo znova naložil delujoče različice strani. Prednalaganje na GitHub je bilo opravljeno samo zaradi pozornosti Apple.

Zaradi varnosti naših bralcev objavljamo kratek vodnik o zaščiti naprav iOS:

1. Blokiranje domene mesta, kjer se nahaja ranljivost. Če povezava vodi do vira GitHub, pojdite na Nastavitve - Safari - Osnovno - Omejitve - Omogoči omejitve (vnesite poljubno 4-mestno geslo za omejitev) - Spletna mesta - Omejite vsebino za odrasle - (Pododdelek "Nikoli ne dovoli") dodajte spletno mesto - GitHub .io.
2. Hitro izbrišite sporočilo, ko ga prejmete. Ocene uporabnikov o učinkovitosti te metode so mešane. Vse je odvisno od tega, kako hitro lahko uporabnik izbriše sporočilo z zlonamerno povezavo.
3. Ponastavite iPhone na tovarniške nastavitve. Je zadnja možnost, saj se po uporabi izbrišejo vsi neshranjeni podatki. In če nimate varnostnih kopij sistema, je najbolje, da ta ukrep opustite.
4. Čakam na popravek. Na žalost ni znano, ali podjetje dela na odpravljanju te težave, saj uradni komentarji iz Apple dokler ni prišlo.

Ta kategorija ranljivosti ni nova v programski opremi iPhone. Zaradi takšnih zlonamernih povezav so pametni telefoni podjetja v letih 2015 in 2016 zamrznili. Glede na dejstvo, da je bilo konec lanskega leta ogromno popravkov strojne programske opreme podjetja Apple, ostaja upanje, da bo podjetje v prihodnjem letu postalo bolj pozorno in odzivno na varnostna vprašanja.

Dzherelo: theverge.com