Сегодня 27 сентября 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Apple исправила уязвимость в Passwords, которая подвергала пользователей опасности три месяца

Apple исправила уязвимость в приложении Passwords в выпуске обновления iOS 18.2, которая существовала в течение трёх месяцев с момента выхода iOS 18, подвергая пользователей опасности и оставляя их без защиты от фишинговых атак, сообщил ресурс 9to5Mac. Исправление было сделано ещё в декабре, но Apple раскрыла информацию об этом только сейчас.

 Источник изображения: 9to5Mac

Источник изображения: 9to5Mac

Apple выделила в iOS 18 инструмент управления паролями Keychain, который ранее находился в настройках, в отдельное приложение Passwords. Исследователи безопасности из Mysk первыми выявили уязвимость, обратив внимание на то, что в отчёте о конфиденциальности приложений iPhone указано, что Passwords связывалось со 130 различными веб-сайтами по незащищённому HTTP-протоколу. В результате дальнейшего расследования они обнаружили, что приложение не только извлекало логотипы и значки учётных записей по HTTP, но и по умолчанию открывало страницы сброса пароля с использованием незашифрованного протокола. «Это делало пользователя уязвимым: злоумышленник с привилегированным сетевым доступом мог перехватить HTTP-запрос и перенаправить пользователя на фишинговый сайт», — сообщили в Mysk ресурсу 9to5Mac.

Исследователи высказали мнение, что Apple должна была включить поддержку HTTPS по умолчанию для такого «чувствительного приложения», а также предоставить пользователям, заботящимся о безопасности, возможность полностью отключить загрузку значков.

Большинство современных веб-сайтов в настоящее время разрешают незашифрованные HTTP-соединения, но автоматически перенаправляют их на HTTPS с помощью 301-го редиректа (Permanent Redirect 301). Следует отметить, что хотя приложение Passwords до выхода iOS 18.2 делало запрос по HTTP, он затем перенаправлялся на защищённую версию HTTPS. Это не несёт угрозы в обычных условиях, поскольку смена пароля происходит на зашифрованной странице, гарантируя, что учётные данные не будут отправлены в открытом виде. Однако это представляет проблему, когда злоумышленник подключён к той же сети, что и пользователь (например, сети Starbucks, аэропорта или Wi-Fi отеля) и перехватывает первоначальный HTTP-запрос до его перенаправления. В этом случае хакер может манипулировать трафиком несколькими способами, включая изменение запроса для перенаправления на фишинговый сайт.

С выходом iOS 18.2 приложение Passwords использует HTTPS по умолчанию для всех подключений, поэтому пользователям рекомендуется обновить ОС на своём смартфоне iPhone.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Apple разработала аналог ChatGPT — приложение Veritas для iPhone, но никому его не показывает 3 ч.
Electronic Arts готовится к выкупу за $50 миллиардов, чтобы стать частной компанией — это будет самая крупная подобная сделка в истории 7 ч.
Apple не увидела проблемы в рекламе ИИ-функций Siri, которые так и не появились 8 ч.
TikTok в США продолжит приносить китайской ByteDance миллиарды даже после отделения 12 ч.
В Steam скоро можно будет попробовать Valor Mortis — гибрид Dark Souls и BioShock от создателей Ghostrunner 12 ч.
Перевод на русский, новая концовка и попутчики: ностальгическое дорожное приключение Keep Driving получило крупное обновление 13 ч.
Футбольная аркада Rematch от разработчиков Sifu стала временно бесплатной, но только в Steam 14 ч.
Геймплейный трейлер раскрыл дату релиза Possessor(s) — стильного боевика от авторов Hyper Light Drifter 15 ч.
Семь из десяти российских компаний не окупили инвестиции в ИИ 15 ч.
Meta запустила в Великобритании рекламную модель, которую ЕС признал незаконной 15 ч.
Власти США предложили рассчитывать импортные тарифы на электронику, исходя из количества чипов в составе устройства 48 мин.
DJI проиграла суд в США и не смогла добиться своего исключения из чёрного списка Пентагона 2 ч.
Google создала и показала в деле ИИ, который заставляет роботов сначала думать, а потом делать 8 ч.
Asus отдаст видеокарту GeForce RTX 5090 ROG Astral с подписью Хуанга за лучший дизайн видеокарты 8 ч.
Новая статья: Обзор игрового 3D-монитора Samsung Odyssey 3D G90XF: полное погружение 9 ч.
Пожар в южнокорейском ЦОД привёл к отключения более 70 государственных онлайн-сервисов 9 ч.
На базе RISC-V в России пока активно развиваются только микроконтроллеры 10 ч.
Китай в прошлом году установил 300 000 промышленных роботов — больше, чем все остальные страны вместе 12 ч.
Xiaomi готовит новый процессор XRing для смартфонов, но за Apple гоняться пока не намерена 14 ч.
Qualcomm поделилась подробностями о процессоре Snapdragon 8 Gen 5 для доступных флагманов 14 ч.