In iOS zijn verschillende kwetsbaarheden ontdekt waardoor een aanvaller met fysieke toegang tot een iPhone of iPad de toegangscode kan omzeilen en een update van Apple is nog niet beschikbaar. De lekken zijn aanwezig in iOS 9.0, 9.1 en 9.2.1 en werden door Vulnerability Laboratory ontdekt.
De kwetsbaarheden bevinden zich in links naar de Appstore, Buy More Tones en Weather Channel. Een aanvaller kan hier vervolgens via Siri, de evenementenkalender of de klok-app gebruik van maken. Zo kan een aanvaller via Siri bijvoorbeeld om een niet bestaande app vragen. Siri geeft als antwoord een link naar de Appstore. De aanvaller opent de link en krijgt een beperkt browservenster met verschillende apps te zien. Op dat moment is het via de startknop of Siri mogelijk om naar het startscherm te gaan.
In totaal hebben de onderzoekers vier scenario's uitgewerkt waarbij een aanvaller via het configuratiescherm of Siri een dergelijke aanval kan uitvoeren. "Een succesvolle aanval kan leiden tot ongeautoriseerde toegang tot het apparaat en het lekken van gevoelige gegevens zoals adresboek, foto's, sms, mms, e-mails, telefoon-app, mailbox, telefooninstellingen of toegang tot andere geïnstalleerde apps", aldus de onderzoekers.
Apple werd begin januari van dit jaar ingelicht, maar een update is nog niet beschikbaar. Om zich te beschermen adviseren de onderzoekers dat gebruikers de Siri-module permanent uitschakelen, alsmede de evenementenkalender en het openbare configuratiescherm. Daarnaast moeten ook de instellingen van de weer-app worden aangepast. In onderstaande video wordt de aanval gedemonstreerd.
De website MacRumors meldt dat het niet om een kwetsbaarheid gaat, omdat de onderzoekers Siri activeren via een vingerafdruk die al op het toestel is geregistreerd. Tegenover Threatpost stelt een van de onderzoekers dat het probleem bij de standaardconfiguratie van iPhones en iPads speelt en nog steeds niet is opgelost. Via de Full Disclosure-mailinglist maakten de onderzoekers hun werk bekend. Daar is nog geen reactie op de beweringen verschenen dat het om misleiding gaat. Op Twitter maakten de onderzoekers hun werk ook bekend. Daar stelt een gebruiker dat de gedemonstreerde aanval niet op zijn toestel werkt, terwijl een ander claimt van wel.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Certified Secure LIVE Online
Certified Secure is LIVE. Cross Site Scripting vinden en voorkomen? Met z'n allen een volledige kubernetes cluster compromitteren? Of gewoon voorkomen dat een collega op een phishing mail klikt? Ontwikkel ook terwijl je thuiswerkt je Hacker Mindset!
Zoals altijd zijn ook onze LIVE trainingen hands-on en met persoonlijke begeleiding van ervaren Certified Secure instructeurs. Direct vanuit je browser en dus zonder nasty extra software!
Neem contact met ons op voor de mogelijkheden voor jouw team.
Juridische vraag: Als mijn werkgever van mij verlangt om aan te geven of ik Corona heb, dan wel mij heb laten testen of mij ...
Leuke vergelijking tussen verschillende chat apps. Wel hoog WC-eend gehalte, maar ik wist niet dat Signal niet aan de AVG ...
Het risico van een supply-chain-aanval, waarbij aanvallers via software of systemen van een derde partij bij organisaties weten ...
Wanneer je hieronder het e-mailadres van je account opgeeft wordt er een nieuwe activatielink naar je gestuurd. Deze link kun je gebruiken om een nieuw wachtwoord in te stellen.
Wanneer je het juiste e-mailadres hebt opgegeven ontvang je automatisch een nieuwe activatielink. Deze link kan je gebruiken om een nieuw wachtwoord in te stellen.
Geef je e-mailadres op en kies een alias van maximaal 30 karakters.
Je hebt je succesvol aangemeld. Voordat je je account kunt gebruiken moet deze eerst geactiveerd worden. Dit kan je zelf doen middels de activatielink die naar het opgegeven e-mailadres is verstuurd.