Apple News

Istraživač kaže da je Apple zanemario tri sigurnosne ranjivosti nula dana i dalje prisutne u iOS-u 15

Petak, 24. rujna 2021., 11:42 PDT, Joe Rossignol

Apple je 2019 otvorio svoj Security Bounty Program za javnost , nudi isplate do milijun dolara istraživačima koji dijele kritične sigurnosne propuste iOS, iPadOS, macOS, tvOS ili watchOS s Appleom, uključujući tehnike koje se koriste za njihovo iskorištavanje. Program je osmišljen kako bi pomogao Appleu da svoje softverske platforme zadrži što sigurnijim.





Sigurnost iPhone 13
U međuvremenu su se pojavila izvješća koja to upućuju neki istraživači sigurnosti nezadovoljni su programom , a sada je istraživač sigurnosti koji koristi pseudonim 'illusionofchaos' podijelio svoje slično 'frustrirajuće iskustvo'.

kako kopirati iz međuspremnika na Macu

U blog post istaknuto od Koste Eleftherioua , neimenovani sigurnosni istraživač je rekao da su prijavili četiri ranjivosti nula dana Appleu između ožujka i svibnja ove godine, ali su rekli da su tri ranjivosti još uvijek prisutne u iOS-u 15 i da je jedna popravljena u iOS-u 14.7, a da im Apple nije dao nikakvu Kreditna.





Želim podijeliti svoje frustrirajuće iskustvo sudjelovanja u programu Apple Security Bounty. Ove godine sam prijavio četiri 0-dnevne ranjivosti između 10. ožujka i 4. svibnja, od sada su tri još uvijek prisutne u najnovijoj verziji iOS-a (15.0), a jedna je popravljena u 14.7, ali Apple je to odlučio prikriti i ne navodi ga na stranici sa sigurnosnim sadržajem. Kad sam se suočio s njima, ispričali su se, uvjeravali me da se to dogodilo zbog problema s obradom i obećali da će to navesti na stranici sa sigurnosnim sadržajem sljedećeg ažuriranja. Od tada su bila tri izdanja i svaki put su prekršili obećanje.

Osoba je rekla da su prošlog tjedna upozorili Apple da će objaviti svoje istraživanje ako ne dobiju odgovor. Međutim, rekli su da je Apple ignorirao zahtjev, što ih je navelo da javno otkriju ranjivosti.

kako ući u siguran način mac

Jedna od ranjivosti nultog dana odnosi se na Game Center i navodno omogućuje bilo kojoj aplikaciji instaliranoj iz App Storea pristup nekim korisničkim podacima:

- Apple ID e-pošta i puno ime povezano s njom

- Apple ID autentifikacijski token koji omogućuje pristup barem jednoj od krajnjih točaka na *.apple.com u ime korisnika

- Potpuni pristup za čitanje datotečnog sustava bazi podataka Core Duet (sadrži popis kontakata iz Mail, SMS, iMessage, aplikacija za razmjenu poruka trećih strana i metapodatke o svim interakcijama korisnika s tim kontaktima (uključujući vremenske oznake i statistiku), također neke privitke (npr. URL-ovi i tekstovi)

- Potpuni pristup datotečnom sustavu za čitanje bazi podataka za brzo biranje i bazi podataka adresara, uključujući slike kontakata i druge metapodatke poput datuma stvaranja i izmjene (upravo sam provjerio na iOS 15 i ovaj je nedostupan, tako da je sigurno tiho popravljen nedavno )

Ostale dvije ranjivosti nultog dana koje su očito još uvijek prisutne u iOS-u 15, kao i ona zakrpljena u iOS-u 14.7, također su detaljno opisane u postu na blogu.

koliko traje baterija 10 na iphoneu

Apple još nije komentirao post na blogu. Ažurirati ćemo ovu priču ako tvrtka odgovori.

Povezani pregledi: iOS 15 , iPad 15