Ett företag specialiserat på cybersäkerhet ligger bakom upptäckten. Fixeringen rullades ut i beta innan den rullades ut till alla användare i nästa uppdatering.
Dela inlägget
Alexandra Patard / Upplagt den 23 april 2020 kl. 11:37
Detaljer om sårbarheten som upptäcktes i MailApple-mobilappen. Bildkredit: ZecOps.
ZecOps, ett företag som specialiserat sig på cybersäkerhet, har avslöjat ett stort säkerhetsbrist i Apples inhemska e-postklient, vilket gör hundratals miljoner iPhones och iPads sårbara för attacker. Sårbarheten upptäcktes under en företagsutredning av en cyberattack som drabbade en av dess kunder i slutet av 2019. Den ska ha använts mot sex mål. Senior: anställd på ett Fortune 500-företag i Nordamerika, operatörschef i Japan, VIP-gäst i Tyskland , journalist i Europa, företagsledare i Schweiz eller till och med andra offer i Saudiarabien och Israel.
Säkerhetshålet kommer att finnas sedan iOS 6 släpptes 2012
“Omfattningen av attacken är att skicka ett speciellt utformat e-postmeddelande till offrets inkorg så att de kan utlösa en sårbarhet i samband med Mail-mobilappen på iOS 12 eller iOS 13,” förklarade ZecOps. som i din rapport. Att utnyttja denna sårbarhet på distans kräver ingen åtgärd från offret: det finns inga filer att ladda ner eller en trasig webbplats att komma åt. Allt som krävs är att öppna ett till synes tomt e-postmeddelande via Mail-mobilappen för att fånga felet och återställa det. Kraschen öppnade därmed dörren för hackare, som sedan kunde ta över data som lagrats i enheten från appen.
Det var genom att analysera dataslutsatserna från kraschrapporter som genererades när ett program kraschade under en uppgift som ZecOps-forskare gjorde denna upptäckt. Enligt företaget har skadlig programvara kunnat dra nytta av denna sårbarhet i Apples mobiloperativsystem sedan januari 2018. Värre, enligt företaget har sårbarheten funnits i Mail-appen minst lika länge. iOS 6 släpptes i 2012. “Dessa sårbarheter – särskilt avlägset heap overflow – utnyttjas i stor utsträckning i riktade attacker av avancerad(e) hotoperatör(er), tillade ZecOps.
Implementerade korrigeringen med nästa iOS-uppdatering
Även om inga offentliga bevis har publicerats och forskarna inte kunde återställa den skadliga koden, eftersom e-postmeddelanden raderades på distans av hackarna, har informationen granskats på allvar av Apple, som avböjde att kommentera. Det amerikanska företaget, som kontaktades av ZecOps i mars förra året, har erkänt förekomsten av denna sårbarhet, som har åtgärdats i den senaste betaversionen av iOS. Fixningen kommer att rullas ut i nästa uppdatering till alla användare under de kommande veckorna.
