Шкідливі застосунки можуть читати чужі дані: в iOS знайшли вразливість

Binance попередила власників iPhone про вразливість в iOS, через яку шкідливі застосунки можуть читати дані інших програм, зокрема seed-фрази.

Що за вразливість знайшли в iOS?

Вразливість отримала назву worse_query. 8 листопада дослідник під ніком forcequitOS виклав на GitHub демонстраційний код, який показує, як застосунок на iPhone може вийти за межі своєї «пісочниці» – ізольованого середовища, у якому iOS тримає кожну програму.

Важливо! За даними автора, worse_query працює на iOS від 26.0 до 26.7.2, а також на iOS 27.2. Офіційного номера CVE вразливість поки не отримала.

Через неї застосунок може дістатися до системних папок, зокрема до каталогів із даними інших програм. Це наступниця вразливості bad_query, яку той самий дослідник оприлюднив раніше. Сам автор наголошує, що його код – інструмент для розробників і до джейлбрейку iPhone відношення не має.

Чим вона небезпечна для власників криптовалюти?

10 листопада про загрозу попередила криптобіржа Binance. За її словами, вразливість дає змогу шкідливим застосункам читати локальні файли інших програм. Під загрозою опиняються seed-фрази, приватні ключі криптогаманців і дані для входу в акаунти. У Binance наголосили, що проблема на рівні самої iOS і стосується не лише їхнього застосунку.

Водночас фахівці з кібербезпеки, на яких посилається видання PANews, уточнюють: сама по собі вразливість не краде кошти автоматично. Найбільше ризикують ті, хто зберігає seed-фрази незашифрованими і встановлює застосунки з невідомих джерел.

Чи виправила Apple вразливість?

9 листопада Apple випустила оновлення iOS 27.2.1. У бюлетені безпеки компанія перелічила дев’ять виправлених вразливостей – зокрема в iMessage, Bluetooth та AirPlay. Однак про worse_query чи вихід застосунків за межі «пісочниці» там не йдеться.

Тож чи закрила Apple цю діру, офіційно невідомо. Публічних коментарів компанії щодо worse_query поки немає.

Як захистити свій iPhone?

У Binance радять власникам iPhone:

• видалити застосунки, встановлені з неофіційних джерел, зокрема вручну підписані IPA-файли;
• оновити iOS і всі застосунки до останніх офіційних версій;
• у разі підозри на злам перевести кошти на новий гаманець, створений на «чистому» пристрої, і завершити всі активні сесії входу.

Розробникам криптогаманців експерти радять обов’язково шифрувати чутливі дані, які застосунок зберігає на пристрої.

Источник: blik.ua