Сегодня 02 сентября 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Apple исправила уязвимость в Passwords, которая подвергала пользователей опасности три месяца

Apple исправила уязвимость в приложении Passwords в выпуске обновления iOS 18.2, которая существовала в течение трёх месяцев с момента выхода iOS 18, подвергая пользователей опасности и оставляя их без защиты от фишинговых атак, сообщил ресурс 9to5Mac. Исправление было сделано ещё в декабре, но Apple раскрыла информацию об этом только сейчас.

 Источник изображения: 9to5Mac

Источник изображения: 9to5Mac

Apple выделила в iOS 18 инструмент управления паролями Keychain, который ранее находился в настройках, в отдельное приложение Passwords. Исследователи безопасности из Mysk первыми выявили уязвимость, обратив внимание на то, что в отчёте о конфиденциальности приложений iPhone указано, что Passwords связывалось со 130 различными веб-сайтами по незащищённому HTTP-протоколу. В результате дальнейшего расследования они обнаружили, что приложение не только извлекало логотипы и значки учётных записей по HTTP, но и по умолчанию открывало страницы сброса пароля с использованием незашифрованного протокола. «Это делало пользователя уязвимым: злоумышленник с привилегированным сетевым доступом мог перехватить HTTP-запрос и перенаправить пользователя на фишинговый сайт», — сообщили в Mysk ресурсу 9to5Mac.

Исследователи высказали мнение, что Apple должна была включить поддержку HTTPS по умолчанию для такого «чувствительного приложения», а также предоставить пользователям, заботящимся о безопасности, возможность полностью отключить загрузку значков.

Большинство современных веб-сайтов в настоящее время разрешают незашифрованные HTTP-соединения, но автоматически перенаправляют их на HTTPS с помощью 301-го редиректа (Permanent Redirect 301). Следует отметить, что хотя приложение Passwords до выхода iOS 18.2 делало запрос по HTTP, он затем перенаправлялся на защищённую версию HTTPS. Это не несёт угрозы в обычных условиях, поскольку смена пароля происходит на зашифрованной странице, гарантируя, что учётные данные не будут отправлены в открытом виде. Однако это представляет проблему, когда злоумышленник подключён к той же сети, что и пользователь (например, сети Starbucks, аэропорта или Wi-Fi отеля) и перехватывает первоначальный HTTP-запрос до его перенаправления. В этом случае хакер может манипулировать трафиком несколькими способами, включая изменение запроса для перенаправления на фишинговый сайт.

С выходом iOS 18.2 приложение Passwords использует HTTPS по умолчанию для всех подключений, поэтому пользователям рекомендуется обновить ОС на своём смартфоне iPhone.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
MWS Cloud в 1,5 раза увеличила мощности GPU-облака для искусственного интеллекта 23 мин.
«Даже не мог представить, что такое возможно»: моддер взялся переносить The Elder Scrolls III: Morrowind в Elden Ring 55 мин.
Кодзима приоткроет завесу тайны над будущими играми в честь 10-летия Kojima Productions 3 ч.
Календарь релизов — 1 – 7 сентября: Hollow Knight: Silksong, Cronos: The New Dawn и Metal Eden 4 ч.
Выбор часов и минут в будильнике iPhone оказался не циклом, а длинным списком с неожиданным концом 5 ч.
Чем ближе Silksong, тем выше пиковый онлайн Hollow Knight — метроидвания достигла 71 тысячи одновременных игроков в Steam 6 ч.
Королевская битва Battlefield 6 засветилась в новой геймплейной утечке с закрытого тестирования 7 ч.
Джеймс Бонд выходит из тени: Sony скоро покажет 30 минут геймплея шпионского боевика 007 First Light от создателей Hitman 8 ч.
Windows 11 растеряла популярность в августе, но не уступила лидерство Windows 10 8 ч.
Россиянам больше нельзя искать экстремизм в интернете, рекламировать VPN и размещать рекламу в Instagram 9 ч.