Błąd iMessage pozwala na zhakowanie za pomocą tylko jednej wiadomości

Na konferencji poświęconej bezpieczeństwu Black Hat w Las Vegas, Natalie Silvanovich, badaczka Google Project Zero, zademonstrowała błędy bez interakcji w kliencie Apple iOS iMessage, które można wykorzystać do przejęcia kontroli nad urządzeniem użytkownika.

Firma Apple wydała kilka poprawek błędów, ale wciąż nie poradziła sobie z nimi wszystkimi.

Mogą one zostać przekształcone w rodzaj błędów, które będą wykonywać kod i mogą być ostatecznie wykorzystane do uzbrojonych rzeczy, takich jak dostęp do danych.

Najgorszy scenariusz polega na tym, że te błędy są wykorzystywane do wyrządzania krzywdy użytkownikom.

Silanovich współpracował z Samuelem Großem, członkiem Project Zero, aby zbadać, czy inne formy przesyłania wiadomości, w tym SMS, MMS i wizualna poczta głosowa, zostały naruszone. Po inżynierii wstecznej i poszukiwaniu błędów odkryła wiele możliwych do wykorzystania błędów w iMessage.

Uważa się, że powodem jest to, że iMessage oferuje tak szeroką gamę opcji i funkcji komunikacyjnych, które zwiększają prawdopodobieństwo błędów i słabości – np. Animojis, renderowanie plików takich jak zdjęcia i filmy oraz integracja z innymi aplikacjami, w tym Apple Pay, iTunes, Airbnb itp.

Wyróżniał się błąd bez interakcji, który umożliwiał hakerom wyodrębnienie danych z wiadomości użytkownika. Błąd umożliwiał atakującemu wysyłanie specjalnie spreparowanych tekstów do celu, na przykład w zamian za treść wiadomości SMS lub obrazów.

Chociaż iOS zwykle ma zabezpieczenia, które blokują atak, ten błąd wykorzystuje podstawową logikę systemu, więc mechanizmy obronne iOS interpretują go jako uzasadniony.

Ponieważ te błędy nie wymagają żadnego działania ze strony ofiary, są faworyzowane przez sprzedawców i hakerów państwowych. Silanovich stwierdził, że odnalezione luki mogą potencjalnie być warte dziesiątki milionów dolarów na rynku exploitów.

Takie błędy od dawna nie były upubliczniane.

W programach takich jak iMessage istnieje wiele dodatkowych powierzchni ataku. Poszczególne błędy są dość łatwe do załatania, ale nigdy nie można znaleźć wszystkich błędów w oprogramowaniu, a każda używana biblioteka stanie się powierzchnią ataku. Tak więc ten problem projektowy jest stosunkowo trudny do naprawienia.

Chociaż nie natknęła się na podobne błędy w Androidzie. znalazła je również w WhatsApp, Facetime i protokole wideokonferencji webRTC.

Może jest to obszar, którego brakuje w bezpieczeństwie.

Dużo uwagi poświęca się wdrażaniu zabezpieczeń, takich jak kryptografia, ale nie ma znaczenia, jak dobre jest twoje krypto, jeśli program ma błędy po stronie odbiorcy.

Silanovich radzi, aby aktualizować system operacyjny telefonu i aplikacje, ponieważ firma Apple niedawno załatała wszystkie przedstawione przez siebie błędy iMessage w iOS 12.4 i macOS 10.14.6.

Źródło: przewodowe