Onderzoekers van Google hebben de afgelopen maanden tien kwetsbaarheden in iOS ontdekt die zijn te gebruiken om iPhones op afstand aan te vallen en in het ergste geval over te nemen, zonder dat hiervoor enige interactie van gebruikers is vereist. Alle tien de lekken zijn inmiddels door Apple gepatcht.

Dat laat Google-onderzoeker Natalie Silvanovich in een analyse weten. Ze besloot samen met onderzoeker Samuel Groß naar de de veiligheid van de iPhone te kijken. Eén van de redenen waren geruchten en berichten over kwetsbaarheden die aanvallers gebruikten om iPhones op afstand over te nemen. Er was echter beperkte technische informatie over deze beveiligingslekken beschikbaar. Het onderzoek van Silvanovich en Groß leverde verschillende ernstige kwetsbaarheden op die inderdaad voor dergelijke remote 'zero click' aanvallen zijn te gebruiken.

Zoals de naam al doet vermoeden gaat het hier om aanvallen die geen interactie van de gebruiker vereisen. De iPhone biedt verschillende aanvalsoppervlaktes om deze aanvallen uit te voeren, waaronder sms, mms, Visual Voicemail, e-mail en iMessage. Silvanovich besloot naar deze vijf communicatiemethodes te kijken, maar ontdekte geen beveiligingslekken in sms en mms. Een kwetsbaarheid in Mail maakte het alleen mogelijk om een denial of service te veroorzaken.

In Visual Voicemail ontdekte Silvanovich wel een ernstige kwetsbaarheid. Met Visual Voicemail kunnen gebruikers op een e-mailachtige manier een lijst met berichten zien en zelf kiezen welke ze beluisteren of verwijderen. Door het versturen van een kwaadaardig sms-bericht was het mogelijk voor een aanvaller om Visual Voicemail met een opgegeven IMAP-server verbinding te laten maken waarna het mogelijk was om de iPhone IMAP-client aan te vallen. Een lek in deze software leidde uiteindelijk tot de mogelijkheid om willekeurige code op het toestel uit te voeren.

Het grootste aanvalsoppervlak bleek iMessage te bieden. Acht kwetsbaarheden gaven de onderzoekers de mogelijkheid om iPhones op afstand over te nemen door alleen het versturen van een bericht. Er was geen interactie van de gebruiker vereist. Volgens Silvanovich biedt iMessage een breed en lastig te enumereren aanvalsoppervlak. "Het aantal en de ernst van de remote kwetsbaarheden die we ontdekten was aanzienlijk. Het verkleinen van het remote aanvalsoppervlak van de iPhone zal waarschijnlijk de veiligheid ervan verbeteren", besluit de Google-onderzoeker.