Sep 28, 2021 • 11:26

Apple принесла извинения пользователю «Хабра», обнаружившему уязвимости в iOS

Sep 28, 2021 • 11:26

Данная страница содержит «вставки» с других сайтов, скрипты которых могут собирать ваши личные данные для аналитики и своих внутренних потребностей. Редакция рекомендует использовать браузеры с блокировкой трекеров для просмотра таких страниц. Подробнее →

В апреле в подробном отчёте Денис Токарев — пользователь «Хабра» под ником illusionofchaos — оповестил компанию о четырёх уязвимостях в iOS, обнаружение которых в рамках программы Apple Security Bounty обычно оценивается в размере 100 000 долларов. После получения отчёта Apple сообщила, что ознакомилась с ним и проводит расследование.

В июле с обновлением iOS 14.7 была исправлена лишь одна ошибка. Остальные уязвимости купертиновцы не исправили, при этом в течение всего полугода Токарев так и не получил желаемого ответа и заслуженного вознаграждения. Это стало поводом для публикации данных об уязвимостях в открытом доступе.

Ситуация за несколько дней получила огласку — лишь после этого Apple решила связаться с исследователем. В письме компания принесла свои извинения за то, что игнорировала его. Кроме того, в Apple подчеркнули, что всё ещё проводят расследование:

Мы видели ваше сообщение в блоге, касающееся этой проблемы, и другие ваши обращения. Мы приносим извинения за задержку с ответом. Мы хотим сообщить вам, что мы всё ещё расследуем эти проблемы и способы их решения для защиты клиентов.

Одна из уязвимостей, которую купертиновцы исправили, давала возможность получить доступ к медицинской информации, данным об использовании устройства и языках страниц сайтов, которые просматривались в Safari, а также информации об аксессуарах. Остальные уязвимости позволяют без разрешения получить, например, адрес электронной почты Apple ID и полное имя.

Кроме того, при помощи обнаруженных уязвимостей можно получить доступ к контактам электронной почты, SMS и iMessage, некоторым вложениям сообщений, данным о том, какие приложения установлены на устройство, а также информации о подключении через Wi-Fi. Токарев подчеркнул, что все эти ошибки связаны с private API.