Рубрики В пoнeдeльник, 27 мaртa кoмпaния Apple рaспрoстрaнилa oбнoвлeниe для iPhone и iPad. В oбнoвлeнии iOS 10.3 пoмимo функциoнaльныx нoвoввeдeний была закрыта опасная уязвимость, которая позволяет злоумышленникам похитить информацию и выполнить произвольный код.
Специалисты команды Cisco Talos предупредили об уязвимости в функции проверки подлинности сертификатов X.509 в iOS и macOS. Для ее эксплуатации мошеннику достаточно заманить пользователя на сайт, предоставляющий вредоносный X.509 сертификат.
Уязвимость существует в коде, ответственном за парсинг субполя nameConstraints в полях расширений сертификата X.509v3. «В функции проверки подлинности сертификатов X.509 в iOS 10.2.1 и macOS Sierra 10.12.3 существует уязвимость использования после освобождения. Проблема потенциально позволяет выполнить произвольный код и может быть проэксплуатирована при помощи специально сформированного сертификата», — пишут исследователи.
Для осуществления атаки злоумышленник должен заставить жертву посетить HTTPS-сайт или подключиться к почтовому серверу, предоставляющим вредоносный сертификат, либо импортировать его.
Проблема затрагивает версии macOS Sierra 10.12.3 и iOS 10.2.1. Вполне возможно, уязвимость существует и в более ранних версиях операционных систем. Эксперты Cisco Talos настоятельно рекомендуют как можно скорее установить iOS 10.3 на iPhone и iPad и macOS Sierra 10.12.4 на Mac, чтобы обезопасить устройства от потенциальных атак злоумышленников.
]]>