Гигантский апдейт для iOS, выпущенный Apple 13 августа, содержал патч для уязвимости, позволявшей выводить с устройства геолокационные и персональные данные, даже если процесс был отключен пользователем.

Мобильное приложение, использующее подобную уязвимость, будет выглядеть достаточно безобидно и сможет пройти проверку в App Store.

Исследователи из FireEye представили отчет об этой уязвимости, названной ими Ins0mnia. Баг позволяет обойти ограничение на время, в течение которого приложение может оставаться запущенным в фоновом режиме, пока не будет автоматически завершено. В отчете FireEye говорится, что подобное ограничение призвано предотвратить подслушивание. Пользователи могут воспользоваться диспетчером задач iOS, чтобы закрыть работающие в фоновом режиме приложения.

То, что Ins0mnia позволяет обходить подобные ограничения, не только подвергает риску конфиденциальность пользователей, но и негативно сказывается на производительности устройства.

«Вредоносное приложение может продолжать работать в фоновом режиме из-за уязвимости Ins0mnia и похищать конфиденциальную информацию в течение неограниченного времени и без ведома пользователя, — пишут исследователи из FireEye Алессандро Рейна (Alessandro Reina), Маттиа Паньоцци (Mattia Pagnozzi) и Стефано Бианки Маццоне (Stefano Bianchi Mazzone). — Конфиденциальная информация может передаваться на удаленный сервер на постоянной основе».

Исследователи заявили, что основа уязвимости в том, что устройство начинает думать, что приложение проходит отладку, вследствие чего ограничения на работу в фоновом режиме не накладываются. Из отчета FireEye:

«Для того чтобы обмануть iOS, вредоносное приложение может воспользоваться ptrace и использовать ptrace-код, который был использован для обработки запроса PT_TRACE_ME, для того чтобы задать значение флагу P_LTRACED и вернуть значение 0. Установив флаг P_LTRACED, приложение блокирует процесс assertiond, не позволяя тому завершить работу вредоносного приложения. Стоит отметить, что PT_TRACE_ME — это запрос, сделанный трассированным процессом, чтобы объявить, что он ожидает трассировку от своего родителя».

Эксперты FireEye подчеркивают, что весьма пугающим является тот факт, что вредоносное приложение, нацеленное на эту уязвимость, может работать на неразблокированных iPhone и iPad.

«В отличие от других известных вредоносных программ для iOS, работающих только на разблокированных устройствах или требующих наличия Apple Enterprise Certificate, гипотетический зловред, использующий Ins0mnia, не полагается на какие-либо компоненты, не разрешенные Apple, — пишут исследователи. — Мы считаем, что подобное приложение имеет весьма высокие шансы пройти проверку в App Store, что позволит атакующим распространять зловред через легитимный канал».

Августовский апдейт от Apple также устранил и ряд других багов в iOS, включая длинный список уязвимостей исполнения кода в WebKit, утечку информации (куки) и уязвимости в Content Security Policy. Помимо этого в Yosemite 10.10.5, была закрыта критическая уязвимость повышения привилегий в динамическом компоновщике DYLD.

Категории: Уязвимости