Уязвимость в Apple iOS может быть использована для кражи идентификатора пользователя и пароля с помощью фишингового письма

Уязвимость в системе Apple iOS позволяет хакерам красть идентификаторы пользователей и пароли с помощью фишингового письма

Демонстрация эксперта по безопасности показывает, как использовать уязвимость в системе Apple iOS, которая может быть использована для загрузки удаленного произвольного HTML-контента в приложении.

На этой неделе Ян Соукек ( @jansoucek), чешский исследователь, опубликовал код доказательства концепции (PoC) и видео, чтобы продемонстрировать свои находки.

В январе эксперт обнаружил, что почтовый клиент iOS (Mail.app) не учитывает HTML-тег в электронных сообщениях. Это позволяет хакеру разрабатывать письма, которые загружают удаленный HTML-контент при открытии.

“JavaScript отключен в этом UIWebView, но все же возможно создать функциональный ‘коллектор’ паролей, используя простой HTML и CSS,” сказал Соукек.

Видео (предоставлено ниже), опубликованное исследователем, демонстрирует, как хакер может отправить фишинговое письмо, в котором запрашивается ввод учетных данных iCloud. Имя пользователя и пароль, собранные у жертвы, затем отправляются обратно хакеру.

Пользователи отметили, что такая атака, вероятно, сработает против многих пользователей интернета, потому что не редкость, когда их просят ввести свои учетные данные iCloud, и подлинный диалоговое окно, созданное Apple, легко воспроизвести.

Соукек опубликовал исходный код для “инъекционного набора” iOS 8.3 на GitHub. Эксперт отметил, что это всего лишь иллюстрация, чтобы показать существование уязвимости, которая может быть использована для других атак, а не только для сбора учетных данных.

“Уязвимость может быть использована для всего, что требует HTML-тегов, не поддерживаемых Mail.app,” объяснил Соукек.

По словам исследователя, в январе он привлек внимание Apple к этой ошибке через систему отслеживания ошибок Radar компании. Однако, поскольку Apple не предприняла никаких действий, он решил раскрыть уязвимость общественности.

Хотя на этой неделе Apple выпустила первую бета-версию iOS 9 и iOS 8.4 Beta 4; однако, неясно, исправляют ли эти версии уязвимость. Даже если ошибки будут исправлены, эти версии в настоящее время предназначены только для разработчиков.

Грэм Клюли, независимый аналитик по безопасности, привлек внимание всех к коду, опубликованному исследователем, который может быть использован злоумышленниками и вредоносными хакерами.

“Хотя я могу понять его разочарование по поводу отсутствия реакции Apple на исправление проблемы, Соукек мог бы оказать давление на компанию, продемонстрировав уязвимость техническим СМИ, а не выпуская код эксплуатации для потенциального злоупотребления. Тем временем, пока мы ждем, когда Купертино выпустит патч, будет разумнее проявлять крайнюю осторожность, когда неожиданное всплывающее окно появляется во время просмотра нашего почтового ящика, или использовать стороннее почтовое приложение,” написал Клюли в блоге для Tripwire.

Poc Video :