Apple weist Ansprüche auf mehrere iOS Zero-Days zurück

Apple weist Ansprüche auf mehrere iOS Zero-Days zurück



Während Apple sich auf die mit Spannung erwartete Einführung seines erschwinglichen Smartphones vorbereitete, war das iPhone SE Es stand vor einem weitaus anderen PR-Kampf. Während die SE allgemein gelobt wurde, veröffentlichte eine Sicherheitsfirma einen Bericht, in dem zwei kürzlich entdeckte separate Zero-Day-Schwachstellen aufgeführt sind. Ganz allgemein gesprochen, Zero-Day-Schwachstellen Es wurden Fehler in der Software oder härter entdeckt, die vom Hersteller nicht behoben wurden. Da sie nicht gepatcht sind, stellen sie eine einzigartige und erhöhte Bedrohungsstufe für Benutzer dar. Entdeckte Fehler können die Ausführung von Remotecode ermöglichen und es Hackern ermöglichen, Malware von einem Remotestandort aus zu installieren, ohne dass sie von der Sicherheitssoftware erkannt wurde.

Das Bericht veröffentlicht von ZecOps detailliert die Mängel nach Angaben der Firma. Wenn die Fehler korrekt ausgenutzt wurden, konnte Remotecode ausgeführt werden, wobei Malware per E-Mail gesendet werden konnte, die erhebliche Mengen des Gerätespeichers beanspruchen konnte. Die Sicherheitsanfälligkeit ermöglichte wiederum die Erschöpfung von Geräteressourcen, die wiederum remote durchgeführt werden konnten. Es wurden Sicherheitslücken gefunden, die sowohl iOS 12 als auch iOS 13 betreffen. Letztere Fehler können in einem Szenario ohne Klick ausgeführt werden, in dem der Mailserver-Client im Hintergrund geöffnet wurde.





Erfolgreiche Hacks beinhalten, dass der Angreifer das Gerät zum Absturz bringen kann. Beim Neustart des Geräts wird eine Hintertür zum Gerät erstellt. Darüber hinaus wurden nach Angaben der Sicherheitsfirma beide Sicherheitslücken in freier Wildbahn ausgenutzt.

Apfel widerlegt Null-Tage-Ansprüche



Das Unternehmen ist der Ansicht, dass es Beweise für die Mängel gefunden hat, die gegen eine Reihe hochkarätiger potenzieller Ziele verwendet wurden, darunter:

  • Personen aus einer Fortune 500-Organisation in Nordamerika
  • Eine Führungskraft von einer Fluggesellschaft in Japan
  • Ein VIP aus Deutschland
  • MSSPs aus Saudi-Arabien und Israel
  • Ein Journalist in Europa
  • Als Führungskraft eines Schweizer Unternehmens wird dieses Ziel laut Bericht derzeit nur verdächtigt, ins Visier genommen zu werden.

Untersuchungen von Forschern begannen, als verdächtige Ereignisse, einschließlich bekannter Indikatoren, die zuvor von Hackern wie Codezeichenfolgen verwendet wurden, entdeckt wurden.

Darüber hinaus wurden E-Mails, die von den Geräten gesendet und verarbeitet wurden, später vom Mailserver gelöscht, was nach Ansicht der Forscher ein Versuch ist, die Angriffe unter dem Radar zu belassen. Die Firma glaubt, dass die Angriffe entweder von einem nationalstaatlichen Akteur durchgeführt wurden oder der Exploit von einem nationalstaatlichen Akteur von einem Dritten gekauft wurde. Das Unternehmen verzichtete darauf, die Täter zu benennen, da festgestellt wurde, dass bei einem Vorfall ein gemieteter Hacker Exploits verkaufte, bei denen laut Bericht E-Mail-Adressen als Hauptkennung verwendet wurden.

Antwort von Apple

Zum Zeitpunkt des Berichts war die Reaktion von Apple minimal und sagte lediglich, dass dies der Fall war Nachforschungen anstellen die Ansprüche von ZecOps. Einige Tage nach der ursprünglichen Erklärung gab Apple erneut bekannt, dass es nicht zu dem gleichen Ergebnis kommen könne wie die Sicherheitsfirma. Äpfel vollständige Erklärung Lesen Sie wie folgt:

„Apple nimmt alle Berichte über Sicherheitsbedrohungen ernst. Wir haben den Bericht des Forschers gründlich untersucht und sind aufgrund der bereitgestellten Informationen zu dem Schluss gekommen, dass diese Probleme kein unmittelbares Risiko für unsere Benutzer darstellen. Der Forscher identifizierte drei Probleme in Mail, aber allein reichen sie nicht aus, um den Sicherheitsschutz für iPhone und iPad zu umgehen, und wir haben keine Beweise dafür gefunden, dass sie gegen Kunden verwendet wurden. Diese potenziellen Probleme werden in Kürze in einem Software-Update behoben. Wir schätzen unsere Zusammenarbeit mit Sicherheitsforschern, um die Sicherheit unserer Benutzer zu gewährleisten, und werden dem Forscher ihre Unterstützung zuschreiben. “

Eine Reihe von Sicherheitsforschern nahm zu Twitter Unterstützung für die Ergebnisse von Apple. Die meisten sagten, dass die vorgelegten Beweise nicht überzeugend waren, und viele wiesen darauf hin, dass der Angreifer beim Löschen der E-Mails auch die Protokolle gelöscht hätte, die intakt geblieben zu sein scheinen. Diese Überzeugung basiert auf der Annahme, dass die Angreifer, wenn sie die E-Mails löschen könnten, auch die Protokolle mehr als löschen könnten. Die InfoSec-Community ist der Ansicht, dass es einen oder mehrere starke Hinweise darauf gibt, dass ein Fehler vorliegt, der durch bestimmte E-Mails ausgelöst wird. Andere haben jedoch in Frage gestellt, ob ein erweiterter Exploit überhaupt einen Absturz verursachen würde. In einem Interview mit Ars Technica HD Moore, Vizepräsident für Forschung und Entwicklung bei Atredis Partners, erklärte:

„Es sieht so aus, als hätte ZecOps einen Absturzbericht identifiziert, einen Weg gefunden, die Abstürze zu reproduzieren, und basierend auf Indizien angenommen, dass dieser für böswillige Zwecke verwendet wurde. Es hört sich so an, als hätte Apple, nachdem er es Apple gemeldet hatte, herausgefunden, dass es sich nur um Absturzfehler handelt, und das schließt die Tür, wenn es sich tatsächlich um die wilde Ausbeutung eines neuen iOS-Zero-Day handelt. Es könnte sein, dass Apple falsch liegt, aber angesichts ihrer Sensibilität für dieses Zeug haben sie es wahrscheinlich anständig untersucht. Durch die Weinrebe hörte ich, dass das interne Sicherheitsteam, das diese Untersuchung bei Apple durchgeführt hat, darüber sauer war, da ZecOps sofort zum Druck ging, bevor sie die Möglichkeit hatten, eine Überprüfung durchzuführen. “

Ähnliche Einstellungen wurden von ausgedrückt Reicher Mogul Angabe,

„Sieht so aus, als hätten Sie eine echte Vuln, aber die Beweise für die Ausbeutung sehen schwach aus… und keine Informationen in Ihrem Beitrag zur Verkettung nach der Ausbeutung, die zur Offenlegung von Informationen oder zur Ausführung von Code führen könnten. Gibt es ein Update, das Sie teilen können? Ziemlich große Behauptung, dass eine 0-Tage-Mail ohne Klick verwendet wird. “

Weitere Tweets von Sinan Eren , Jann Horn , und Dino A. Dai Zovi warf weitere Fragen zur Schwere des Fehlers auf und stellte häufig die im ZecOps-Bericht enthaltenen Beweise in Frage. Als Reaktion auf die auf Twitter eingegangene Kritik stand ZecOps zu ihrem Bericht: Angabe ,

„Laut ZecOps-Daten gab es bei einigen Organisationen Auslöser für diese Sicherheitsanfälligkeit. Wir möchten Apple für die Arbeit an einem Patch danken und freuen uns darauf, unsere Geräte zu aktualisieren, sobald sie verfügbar sind. ZecOps wird weitere Informationen und POCs veröffentlichen, sobald ein Patch verfügbar ist. “

Nach bestem Wissen des Autors haben weder Apple noch ZecOps endgültige Beweise veröffentlicht, um ihre Haltung zweifelsfrei zu beweisen. Leider sind solche Vorfälle in Zeiten von Technologiegiganten, die ihren Ruf und ihre Produkte verteidigen, an der Tagesordnung, während Sicherheitsforscher versuchen, Benutzer vor Bedrohungen auf der ganzen Welt zu schützen. Zuweilen stehen diese Pflichten im Widerspruch zu Sicherheitsforschern, die offenbar unschätzbare Technologie-Löcher schlagen, während Technologiegiganten nichts zugeben, was der Marke Schaden zufügen würde.

Textbomben-Bug

Der obige Streit kommt als Berichte Es tritt ein weiterer Fehler auf, der ein iOS-Gerät nach Erhalt einer App-Benachrichtigung zum Absturz bringt. Berichten zufolge stürzt das Gerät ab, unabhängig davon, ob es sich um ein iPhone oder iPad handelt, auf dem die neueste Version von Apples mobilem Betriebssystem iOS 13.4.1 ausgeführt wird, indem lediglich eine Benachrichtigung empfangen wird, die in Sindhi-Sprache mit italienischen Flaggen geschrieben zu sein scheint. Fehler wie diese werden häufig als „Textbomben“ bezeichnet und können für iOS-Benutzer weit verbreitete Probleme verursachen, da der Absturz durch eine Benachrichtigung von jeder App ausgelöst werden kann, einschließlich Nachrichten, WhatsApp und auch Social-Media-Apps wie Twitter Dies bedeutet, dass Tausende von Benutzern gleichzeitig betroffen sein können.

Während die ursprüngliche Nachricht italienische Flaggen enthielt, haben andere Berichte aufgetaucht das bestätigt, dass sie nicht notwendig sind, um den Fehler auszunutzen. Die Ausnutzung des Fehlers ist derzeit höchstwahrscheinlich die Arbeit eines Scherzers. Das ganze Szenario erinnert an einen ähnlichen Fehler, der als „ Effektive Leistung Der Hauptunterschied zwischen beiden besteht darin, dass „Effective Power“ über die Nachrichten-App von Apple verbreitet wurde und durch eine Reihe arabischer Zeichen verursacht wurde. Es ist wichtig zu beachten, dass der Fehler iOS 13.4.5 nicht betrifft. Diese Version befindet sich jedoch noch in der Beta-Phase und ist erst nach ihrer offiziellen Veröffentlichung in einigen Wochen allgemein verfügbar.

Derzeit besteht die einzige Strategie zur Schadensbegrenzung für Benutzer darin, Benachrichtigungen für betroffene Apps zu deaktivieren. Dies ist zwar keine bequeme Lösung, verhindert jedoch, dass die Textbombe das Gerät zum Absturz bringt. Für diejenigen, die eine Benachrichtigung erhalten und ihr Gerät anschließend abstürzt, keine Panik. Das Gerät kann nach dem Absturz neu gestartet werden. Dies kann sicher durchgeführt werden und scheint keine dauerhaften Schäden zu verursachen.

Der Textbombenfehler und die ZecOps-Fehler scheinen zwar nicht miteinander verbunden zu sein, sie unterstreichen jedoch die Notwendigkeit für Sicherheitsforscher, selbst bei unseren beliebtesten Produkten nach Fehlern zu suchen. Die moderne Produktentwicklung und -herstellung erfolgt relativ schnell und die Öffentlichkeit fordert mit jeder Veröffentlichung mehr und mehr. Fehler und Bugs sind unvermeidlich. Es ist nur zu hoffen, dass die Guten Zero-Day-Fehler entdecken, damit die Sanierung ohne Zwischenfälle durchgeführt werden kann.