Сегодня 05 июля 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Apple исправила уязвимость в Passwords, которая подвергала пользователей опасности три месяца

Apple исправила уязвимость в приложении Passwords в выпуске обновления iOS 18.2, которая существовала в течение трёх месяцев с момента выхода iOS 18, подвергая пользователей опасности и оставляя их без защиты от фишинговых атак, сообщил ресурс 9to5Mac. Исправление было сделано ещё в декабре, но Apple раскрыла информацию об этом только сейчас.

 Источник изображения: 9to5Mac

Источник изображения: 9to5Mac

Apple выделила в iOS 18 инструмент управления паролями Keychain, который ранее находился в настройках, в отдельное приложение Passwords. Исследователи безопасности из Mysk первыми выявили уязвимость, обратив внимание на то, что в отчёте о конфиденциальности приложений iPhone указано, что Passwords связывалось со 130 различными веб-сайтами по незащищённому HTTP-протоколу. В результате дальнейшего расследования они обнаружили, что приложение не только извлекало логотипы и значки учётных записей по HTTP, но и по умолчанию открывало страницы сброса пароля с использованием незашифрованного протокола. «Это делало пользователя уязвимым: злоумышленник с привилегированным сетевым доступом мог перехватить HTTP-запрос и перенаправить пользователя на фишинговый сайт», — сообщили в Mysk ресурсу 9to5Mac.

Исследователи высказали мнение, что Apple должна была включить поддержку HTTPS по умолчанию для такого «чувствительного приложения», а также предоставить пользователям, заботящимся о безопасности, возможность полностью отключить загрузку значков.

Большинство современных веб-сайтов в настоящее время разрешают незашифрованные HTTP-соединения, но автоматически перенаправляют их на HTTPS с помощью 301-го редиректа (Permanent Redirect 301). Следует отметить, что хотя приложение Passwords до выхода iOS 18.2 делало запрос по HTTP, он затем перенаправлялся на защищённую версию HTTPS. Это не несёт угрозы в обычных условиях, поскольку смена пароля происходит на зашифрованной странице, гарантируя, что учётные данные не будут отправлены в открытом виде. Однако это представляет проблему, когда злоумышленник подключён к той же сети, что и пользователь (например, сети Starbucks, аэропорта или Wi-Fi отеля) и перехватывает первоначальный HTTP-запрос до его перенаправления. В этом случае хакер может манипулировать трафиком несколькими способами, включая изменение запроса для перенаправления на фишинговый сайт.

С выходом iOS 18.2 приложение Passwords использует HTTPS по умолчанию для всех подключений, поэтому пользователям рекомендуется обновить ОС на своём смартфоне iPhone.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Глобальные выбросы углекислого газа установили новый рекорд, несмотря на все усилия и потраченные средства 31 мин.
Xiaomi выпустила на глобальный рынок очки-наушники Smart Audio Glasses 3 ч.
Потеряшек не будет: зонд NASA «Новые горизонты» нашёл себя среди звёзд без помощи с Земли 7 ч.
Повальный спрос на HBM тормозит внедрение CXL- и PIM-памяти 7 ч.
Компактный компьютер Asus на суперчипе Nvidia Grace Blackwell выйдет 22 июля 7 ч.
Маску дали разрешение на 15 турбин для питания ИИ-суперкомпьютера xAI Colossus, но на снимках по-прежнему видны 24 турбины 8 ч.
Foxconn нарастила квартальную выручку благодаря заказам от Nvidia 9 ч.
Племянник изобретателя ZX Spectrum представил GamerCard — портативную консоль для ретро-игр 9 ч.
Подписанный Трампом «большой и прекрасный» закон поставил под угрозу важнейший источник прибыли Tesla 9 ч.
YADRO вложила в развитие отечественных IT-продуктов более 60 млрд руб. 9 ч.