Zraniteľnosti iPhone „iOS Zero Interaction“, ktoré odhalili a predviedli výskumní pracovníci spoločnosti Google v oblasti zabezpečenia z projektu Zero

Novinky
Apple / Zraniteľnosti iPhone „iOS Zero Interaction“, ktoré odhalili a predviedli výskumní pracovníci spoločnosti Google v oblasti zabezpečenia z projektu Zero 5 minút čítania

Apple (foto Medhat Dawoud na Unsplash)



Apple iOS, predvolený operačný systém pre všetky telefóny iPhone, obsahoval šesť kritických zraniteľností „Zero Interaction“. To isté zistil aj elitný tím spoločnosti Google „Project Zero“, ktorý loví závažné chyby a chyby softvéru. Je zaujímavé, že tím spoločnosti Google pre výskum zabezpečenia tiež úspešne replikoval akcie, ktoré je možné vykonať pomocou bezpečnostných chýb vo voľnej prírode. Tieto chyby môžu potenciálne umožniť ľubovoľnému vzdialenému útočníkovi prevziať administratívnu kontrolu nad Apple iPhone bez toho, aby používateľ musel robiť čokoľvek iné ako prijímať a otvárať správy.

nainštalovať Windows 10 na externý pevný disk

Zistilo sa, že verzie operačného systému Apple iPhone pred iOS 12.4 sú náchylné na šesť bezpečnostných chýb „bez interakcie“, objavené Google. Dvaja členovia projektu Google Project Zero zverejnili podrobnosti a dokonca úspešne demonštrovali Proof-of-Concept pre päť zo šiestich zraniteľností. Bezpečnostné chyby možno považovať za dosť závažné už len z toho dôvodu, že vyžadujú najmenšie množstvo akcií vykonaných potenciálnou obeťou, aby došlo k narušeniu bezpečnosti zariadenia iPhone. Zraniteľnosť zabezpečenia ovplyvňuje operačný systém iOS a je možné ju zneužiť prostredníctvom klienta iMessage.



Spoločnosť Google sa riadi „zodpovednými postupmi“ a informuje spoločnosť Apple o závažných bezpečnostných nedostatkoch v systéme iPhone so systémom iOS:

Google odhalí podrobnosti o bezpečnostných chybách v systéme Apple iPhone iOS na bezpečnostnej konferencii Black Hat v Las Vegas budúci týždeň. Vyhľadávací gigant si však zachoval svoju zodpovednú prax varovania príslušných spoločností o bezpečnostných medzerách alebo zadných vrátkach a najskôr nahlásil problémy spoločnosti Apple, aby im umožnil vydávať opravy skôr, ako tím zverejní podrobnosti.



Keď si Apple všimol závažné bezpečnostné chyby, údajne sa ponáhľal tieto chyby opraviť. Možno to však nebolo úplne úspešné. Podrobnosti o jednej z „bezinterakčných“ zraniteľností boli utajené, pretože Apple chybu úplne nevyriešil. Informácie o tom istom ponúkla Natalie Silvanovich, jedna z dvoch výskumníčok Google Project Zero, ktoré chyby našli a nahlásili.



Vedec tiež poznamenal, že štyri zo šiestich bezpečnostných chýb môžu viesť k spusteniu škodlivého kódu na vzdialenom zariadení so systémom iOS. Čo je ešte viac znepokojujúce, je skutočnosť, že tieto chyby nevyžadovali žiadnu interakciu používateľa. Útočníci musia iba poslať nesprávne kódovanú správu do telefónu obete. Škodlivý kód by sa potom mohol ľahko spustiť potom, čo používateľ otvorí správu a zobrazí prijatú položku. Ďalšie dve zneužitia by mohli útočníkovi umožniť únik údajov z pamäte zariadenia a čítanie súborov zo vzdialeného zariadenia. Prekvapivo ani tieto chyby nevyžadovali interakciu používateľa.

Apple dokáže úspešne opraviť iba päť zo šiestich bezpečnostných zraniteľností „Zero Interaction“ v iPhone iOS?

Všetkých šesť bezpečnostných chýb malo byť úspešne opravených minulý týždeň, 22. júla s vydaním Apple pre iOS 12.4 . Zdá sa však, že to tak nie je. Výskumník v oblasti bezpečnosti poznamenal, že spoločnosti Apple sa v iPhone iOS podarilo opraviť iba päť zo šiestich zraniteľností zabezpečenia „Zero Interaction“. Napriek tomu sú podrobnosti o piatich opravených chybách k dispozícii online. To isté ponúkol Google prostredníctvom svojho systému hlásenia chýb.

Tri chyby, ktoré umožňovali vzdialené spustenie a poskytli administratívnu kontrolu nad iPhone obete, sú CVE-2019-8647 , CVE-2019-8660 a CVE-2019-8662 . Prepojené správy o chybách obsahujú nielen technické podrobnosti o každej chybe, ale aj kód overenia koncepcie, ktorý je možné použiť na vytvorenie zneužitia. Pretože Apple nebol schopný úspešne opraviť štvrtú chybu z tejto kategórie, podrobnosti o nej boli utajené. Google označil túto chybu zabezpečenia ako CVE-2019-8641.

Google označil piatu a šiestu chybu ako CVE-2019-8624 a CVE-2019-8646 . Tieto chyby v zabezpečení by potenciálne mohli útočníkovi umožniť preniknúť do súkromných informácií obete. Obzvlášť sa to týka, pretože môžu presúvať údaje z pamäte zariadenia a čítať súbory zo vzdialeného zariadenia bez toho, aby boli potrebné akékoľvek zásahy obete.

V systéme iOS 12.4 mohla spoločnosť Apple úspešne zablokovať všetky pokusy o diaľkové ovládanie telefónov iPhone prostredníctvom zraniteľnej platformy iMessage. Existencia a otvorená dostupnosť kódu overenia konceptu však znamená, že hackeri alebo škodliví programátori môžu stále využívať telefóny iPhone, ktoré neboli aktualizované na iOS 12.4. Inými slovami, hoci sa vždy odporúča inštalovať bezpečnostné aktualizácie hneď, ako budú k dispozícii, v takom prípade je nevyhnutné bezodkladne nainštalovať najnovšiu aktualizáciu systému iOS, ktorú vydala spoločnosť Apple. Mnoho hackerov sa pokúša zneužiť chyby zabezpečenia aj po tom, ako boli opravené alebo opravené. Je tomu tak preto, lebo si dobre uvedomujú, že existuje vysoké percento vlastníkov zariadení, ktorí neaktualizujú pohotovo alebo s ich aktualizáciou iba meškajú.

Závažné chyby zabezpečenia v systéme iPhone so systémom iOS sú celkom lukratívne a finančne sa odmeňujú na dark webe:

Šesť zraniteľností zabezpečenia „Zero Interaction“ objavil Silvanovich a spolupracovník bezpečnostného výskumu Google Project Zero Samuel Groß. Silvanovič prednesie prezentáciu o vzdialených a „bezinterakčných“ zraniteľnostiach iPhone na bezpečnostnej konferencii Black Hat, ktorá sa má konať budúci týždeň v Las Vegas.

„ Nulová interakcia “Alebo„ bez trenia „Zraniteľné miesta sú obzvlášť nebezpečné a sú medzi odborníkmi na bezpečnosť predmetom hlbokého znepokojenia. A malý úryvok z rozhovoru ktoré Silvanovič prednesie na konferencii, zdôrazňuje obavy z takýchto bezpečnostných chýb v systéme iPhone iOS. „Vyskytli sa povesti o vzdialených zraniteľnostiach, ktoré nevyžadujú žiadnu interakciu používateľa s útokom na iPhone, ale o technických aspektoch týchto útokov na moderné zariadenia je k dispozícii iba obmedzené množstvo informácií. Táto prezentácia skúma vzdialený útočný povrch systému iOS bez interakcií. Rozoberá možnosti zraniteľnosti v SMS, MMS, vizuálnej hlasovej schránke, iMessage a pošte a vysvetľuje, ako nastaviť nástroje na testovanie týchto komponentov. Zahŕňa tiež dva príklady zraniteľností zistených pomocou týchto metód. “

Prezentácia má byť jednou z najpopulárnejších na konferencii predovšetkým preto, že chyby systému iOS pri interakcii používateľa s používateľmi sú veľmi zriedkavé. Väčšina útokov na iOS a macOS sa spolieha na úspešné podvedenie obete k spusteniu aplikácie alebo odhalenie jej poverení Apple ID. Chyba nulovej interakcie vyžaduje na otvorenie zneužitia iba otvorenie poškvrnenej správy. To významne zvyšuje pravdepodobnosť infekcie alebo ohrozenia bezpečnosti. Väčšina používateľov smartphonov má na obrazovke obmedzený počet nehnuteľností a nakoniec otvára správy na kontrolu ich obsahu. Šikovne spracovaná a dobre formulovaná správa často exponenciálne zvyšuje vnímanú autenticitu, čo ďalej zvyšuje šance na úspech.

Silvanovič spomenul, že také škodlivé správy sa dajú posielať prostredníctvom SMS, MMS, iMessage, Mail alebo dokonca vizuálnej hlasovej schránky. Stačilo, aby skončili v telefóne obete a boli otvorení. 'Takéto zraniteľnosti sú svätým grálom útočníka, ktorý im umožňuje nenápadne preniknúť do zariadení obetí.' Mimochodom, až do dnešného dňa sa zistilo, že také minimálne alebo „Zero Interaction“ bezpečnostné zraniteľnosti využívajú iba dodávatelia zneužitia a výrobcovia právnych nástrojov a softvéru na sledovanie. To jednoducho znamená také vysoko sofistikované chyby ktoré spôsobujú najmenšie podozrenie, objavujú a obchodujú hlavne dodávatelia softvéru pôsobiaci na Dark Web. Iba štátom sponzorované a zamerané hackerské skupiny zvyčajne k nim majú prístup. Je to tak preto, lebo predajcovia, ktorí sa zmocnia takýchto nedostatkov, ich predávajú za obrovské sumy peňazí.

Podľa cenového grafu zverejneného Zerodium , také zraniteľnosti predávané na Dark Web alebo na čiernom trhu so softvérom môžu stáť každá viac ako 1 milión dolárov. To znamená, že Silvanovič mohol zverejniť podrobnosti o bezpečnostných zneužitiach, ktoré si môžu dodávatelia nelegálneho softvéru účtovať kdekoľvek od 5 do 10 miliónov dolárov. Crowdfense , ďalšia platforma, ktorá pracuje s bezpečnostnými informáciami, tvrdí, že cena mohla byť ľahko oveľa vyššia. Platforma založila svoje predpoklady na skutočnosti, že tieto chyby boli súčasťou „ reťaz útokov bez kliknutia “. Zraniteľnosti navyše fungovali na najnovších verziách zneužití systému iOS. V kombinácii so skutočnosťou, že ich bolo šesť, by mohol predajca exploitu za túto položku ľahko zarobiť viac ako 20 miliónov dolárov.

Značky jablko Kyber ochrana google iOS