Сегодня 23 мая 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Apple исправила уязвимость в Passwords, которая подвергала пользователей опасности три месяца

Apple исправила уязвимость в приложении Passwords в выпуске обновления iOS 18.2, которая существовала в течение трёх месяцев с момента выхода iOS 18, подвергая пользователей опасности и оставляя их без защиты от фишинговых атак, сообщил ресурс 9to5Mac. Исправление было сделано ещё в декабре, но Apple раскрыла информацию об этом только сейчас.

 Источник изображения: 9to5Mac

Источник изображения: 9to5Mac

Apple выделила в iOS 18 инструмент управления паролями Keychain, который ранее находился в настройках, в отдельное приложение Passwords. Исследователи безопасности из Mysk первыми выявили уязвимость, обратив внимание на то, что в отчёте о конфиденциальности приложений iPhone указано, что Passwords связывалось со 130 различными веб-сайтами по незащищённому HTTP-протоколу. В результате дальнейшего расследования они обнаружили, что приложение не только извлекало логотипы и значки учётных записей по HTTP, но и по умолчанию открывало страницы сброса пароля с использованием незашифрованного протокола. «Это делало пользователя уязвимым: злоумышленник с привилегированным сетевым доступом мог перехватить HTTP-запрос и перенаправить пользователя на фишинговый сайт», — сообщили в Mysk ресурсу 9to5Mac.

Исследователи высказали мнение, что Apple должна была включить поддержку HTTPS по умолчанию для такого «чувствительного приложения», а также предоставить пользователям, заботящимся о безопасности, возможность полностью отключить загрузку значков.

Большинство современных веб-сайтов в настоящее время разрешают незашифрованные HTTP-соединения, но автоматически перенаправляют их на HTTPS с помощью 301-го редиректа (Permanent Redirect 301). Следует отметить, что хотя приложение Passwords до выхода iOS 18.2 делало запрос по HTTP, он затем перенаправлялся на защищённую версию HTTPS. Это не несёт угрозы в обычных условиях, поскольку смена пароля происходит на зашифрованной странице, гарантируя, что учётные данные не будут отправлены в открытом виде. Однако это представляет проблему, когда злоумышленник подключён к той же сети, что и пользователь (например, сети Starbucks, аэропорта или Wi-Fi отеля) и перехватывает первоначальный HTTP-запрос до его перенаправления. В этом случае хакер может манипулировать трафиком несколькими способами, включая изменение запроса для перенаправления на фишинговый сайт.

С выходом iOS 18.2 приложение Passwords использует HTTPS по умолчанию для всех подключений, поэтому пользователям рекомендуется обновить ОС на своём смартфоне iPhone.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
«Только со смертью заканчивается долг»: разработчики Warhammer 40,000: Space Marine 2 раскрыли дату выхода горячо ожидаемого режима «Осада» 45 мин.
Google вслед за Microsoft заявила о готовности поддержать клиентов из Евросоюза и представила новые решения для защиты цифрового суверенитета 3 ч.
Anthropic представила Claude 4 — ИИ научился избегать «лазеек» и точнее выполнять сложные задания 7 ч.
Sega анонсировала «вдумчивую реставрацию» оригинальной Warhammer 40,000: Space Marine для нового поколения игроков 11 ч.
Культовая стратегия Warhammer 40,000: Dawn of War в 2025 году получит новую жизнь благодаря ремастеру — трейлер и подробности 12 ч.
Warhammer 40,000: Boltgun 2 выйдет в 2026 году, а бесплатный «печатный» шутер по мотивам первой части ждать не придётся 13 ч.
Owlcat Games анонсировала ролевую игру про борьбу с ересью Warhammer 40,000: Dark Heresy и новые дополнения для Warhammer 40,000: Rogue Trader 14 ч.
Чемпионат мира по киберспорту в Саудовской Аравии остался без GeoGuessr — разработчики отказались от участия после протеста фанатов 15 ч.
Разработчики ролевого боевика Alkahest в духе Dark Messiah of Might and Magic анонсировали геймплейную демонстрацию и показали новый тизер 16 ч.
День биткоин-пиццы: 15 лет назад майнер купил две пиццы за 10 000 BTC — сегодня это $1,1 млрд 16 ч.
Девятый пуск SpaceX Starship одобрен регуляторами в США при условии расширения зоны безопасности 3 ч.
Apple рассчитывает выпустить умные очки до конца 2026 года, но передумала создавать «подглядывающие» часы Watch 6 ч.
Новая статья: Система жидкостного охлаждения ID-Cooling DX360 Max с радиатором увеличенной толщины 9 ч.
Qualcomm готовит 80-ядерный серверный Arm-процессор SD1 для ИИ-платформ 12 ч.
Xiaomi представила огромный 14-дюймовый планшет Pad 7 Ultra на фирменном процессоре Xring O1 15 ч.
Xiaomi представила часы Watch S4 на фирменном чипе Xring T1 с модемом 4G собственной разработки 15 ч.
SK hynix представила смартфонную память UFS 4.1 на основе 321-слойной 4D NAND 16 ч.
Представлен флагман Xiaomi 15S Pro — первый смартфон на фирменном процессоре Xring O1 16 ч.
Xiaomi представила процессор Xring O1, который быстрее и дешевле Apple A18 Pro — его разрабатывали 4 года и потратили $1,87 млрд 16 ч.
Учёные создали полупроводниковый кулер для всего — без движущихся частей, шума и жидкости 16 ч.