Каждое десятое iOS-приложение содержит серьезную уязвимость

ИБ-эксперты нашли способ перехватывать сетевой трафик программ, переписывать их информацию и выполнять сторонний код.

Тысячи популярных iOS-приложений содержат опасную уязвимость, которая позволяет переписывать данные и запускать сторонний код. Проблему обнаружили эксперты китайской компании Pangu Lab, специализирующиеся на взломе устройств Apple.

Исследователи дали своей находке название ZipperDown (“расстегнутая ширинка”). Специально созданный сканер нашел брешь в почти 16 тыс. из 169 тыс. изученных приложений. Некоторые из них уже набрали 100 млн пользователей, например платформа микроблогов Weibo, музыкальный стриминговый сервис NetEase Music или социальная сеть Kwai.

Эксперты опубликовали видео с демонстрацией уязвимости — в нем пользователь скачивает приложение, после чего взломщик запускает в программе сторонний код.

В исследовании отмечается, что для использования бреши атакующий должен находиться в одной сети с жертвой. Это ограничение несколько снижает потенциальную угрозу, равно как и тот факт, что встроенные в мобильные системы “песочницы” эффективно борются с уязвимостью.

Чтобы не подвергать пользователей дополнительной опасности, эксперты не раскрывают технические подробности ZipperDown. Известно лишь, что она представляет собой типичную ошибку программирования. Автоматические детекторы не позволяют достоверно определить наличие бреши — в каждом конкретном случае разработчикам нужно вручную проверять свои продукты.

Из-за большого количества уязвимых приложений эксперты не могут лично сообщить их создателям об угрозе. Вместо этого они оставили на своем сайте адрес для обращений за консультациями по устранению Zipperdown.

По словам авторов исследования, проблема коснулась и ОС Android. Детали по этой теме будут опубликованы позже.

Ранее эксперты предупредили, что с 2014 по 2016 количество брешей в мобильных приложениях в среднем выросло втрое, перешагнув отметку в 600 уязвимостей.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля