Уязвимость в Apple Shortcuts приводила к утечке конфиденциальных данных

Уязвимость в Apple Shortcuts приводила к утечке конфиденциальных данных

Серьезная уязвимость в приложении Apple Shortcuts («Быстрые команды») позволяла злоумышленникам получить доступ к конфиденциальной информации без участия пользователя.

Баг получил идентификатор CVE-2024-23204 и затрагивает как iOS, так и macOS, сообщают специалисты Bitdefender. Хотя уязвимость может использоваться только при определенных условиях, она позволяет обойти защиту Apple, регулирующую доступ к конфиденциальной пользовательской информации и системным ресурсам.

Проблема связана с фоновым процессом Shortcuts и позволяет обмануть Transparency, Consent, and Control (TCC), гарантирующий, что приложения не могут получить доступ к конфиденциальной информации, если пользователь не предоставит на это явное разрешение.

По данным Bitdefender, уязвимость позволяет фоновому процессу Shortcuts получить доступ к конфиденциальным данным даже в песочнице. Так, используя функцию Expand URL, исследователи смогли обойти TCC и передать зашифрованные base64 данные (фотографии) на удаленный сайт. Затем злоумышленник может использовать Flask для перехвата передаваемых данных и сбора конфиденциальной информации.

«Этот метод включает в себя выбор любых конфиденциальных данных (фотографии, контакты, файлы и данные буфера обмена) в Shortcuts, их импорт, преобразование с помощью опции base64 encode и, в конечном итоге, пересылку на вредоносный сервер», — пишут эксперты.

Так как Apple позволяет пользователям экспортировать Shortcuts и обмениваться ими, злоумышленники могут использовать эту функцию для распространения вредоносных Shortcuts, уязвимых перед проблемой CVE-2024-23204, и атаковать пользователей, которые их установят.

В компании отметили, что уязвимость была устранена в январе 2024 года, с релизом iOS 17.3 и iPadOS 17.3, а также macOS Sonoma 14.3.

Источник: xaker.ru

Главная » Новости » Безопасность » Уязвимость в Apple Shortcuts приводила к утечке конфиденциальных данных

Свежий выпуск «Люди PRO»

Свежий выпуск «Мультичела»

Читайте также