In iOS zijn verschillende kwetsbaarheden ontdekt waardoor een aanvaller met fysieke toegang tot een iPhone of iPad de toegangscode kan omzeilen en een update van Apple is nog niet beschikbaar. De lekken zijn aanwezig in iOS 9.0, 9.1 en 9.2.1 en werden door Vulnerability Laboratory ontdekt.

De kwetsbaarheden bevinden zich in links naar de Appstore, Buy More Tones en Weather Channel. Een aanvaller kan hier vervolgens via Siri, de evenementenkalender of de klok-app gebruik van maken. Zo kan een aanvaller via Siri bijvoorbeeld om een niet bestaande app vragen. Siri geeft als antwoord een link naar de Appstore. De aanvaller opent de link en krijgt een beperkt browservenster met verschillende apps te zien. Op dat moment is het via de startknop of Siri mogelijk om naar het startscherm te gaan.

In totaal hebben de onderzoekers vier scenario's uitgewerkt waarbij een aanvaller via het configuratiescherm of Siri een dergelijke aanval kan uitvoeren. "Een succesvolle aanval kan leiden tot ongeautoriseerde toegang tot het apparaat en het lekken van gevoelige gegevens zoals adresboek, foto's, sms, mms, e-mails, telefoon-app, mailbox, telefooninstellingen of toegang tot andere geïnstalleerde apps", aldus de onderzoekers.

Apple werd begin januari van dit jaar ingelicht, maar een update is nog niet beschikbaar. Om zich te beschermen adviseren de onderzoekers dat gebruikers de Siri-module permanent uitschakelen, alsmede de evenementenkalender en het openbare configuratiescherm. Daarnaast moeten ook de instellingen van de weer-app worden aangepast. In onderstaande video wordt de aanval gedemonstreerd.

Update

De website MacRumors meldt dat het niet om een kwetsbaarheid gaat, omdat de onderzoekers Siri activeren via een vingerafdruk die al op het toestel is geregistreerd. Tegenover Threatpost stelt een van de onderzoekers dat het probleem bij de standaardconfiguratie van iPhones en iPads speelt en nog steeds niet is opgelost. Via de Full Disclosure-mailinglist maakten de onderzoekers hun werk bekend. Daar is nog geen reactie op de beweringen verschenen dat het om misleiding gaat. Op Twitter maakten de onderzoekers hun werk ook bekend. Daar stelt een gebruiker dat de gedemonstreerde aanval niet op zijn toestel werkt, terwijl een ander claimt van wel.