應(yīng)用

技術(shù)

物聯(lián)網(wǎng)世界 >> 物聯(lián)網(wǎng)新聞 >> 物聯(lián)網(wǎng)熱點(diǎn)新聞
企業(yè)注冊(cè)個(gè)人注冊(cè)登錄

AirTag“丟失模式”存安全漏洞:能引導(dǎo)用戶(hù)跳轉(zhuǎn)到惡意/釣魚(yú)網(wǎng)站

2021-09-30 09:03 cnBeta

導(dǎo)讀:根據(jù) KrebsOnSecurity分享的一份最新安全報(bào)告,蘋(píng)果允許任何智能手機(jī)用戶(hù)掃描丟失的 AirTag 以定位所有者的聯(lián)系信息,該功能可能被濫用于網(wǎng)絡(luò)釣魚(yú)詐騙。

根據(jù) KrebsOnSecurity分享的一份最新安全報(bào)告,蘋(píng)果允許任何智能手機(jī)用戶(hù)掃描丟失的 AirTag 以定位所有者的聯(lián)系信息,該功能可能被濫用于網(wǎng)絡(luò)釣魚(yú)詐騙。當(dāng)一個(gè) AirTag 被設(shè)置為丟失模式時(shí),它會(huì)生成一個(gè) URL“https://found.apple.com”,它讓 AirTag 所有者輸入聯(lián)系電話(huà)或電子郵件地址。

任何掃描該 AirTag 的人都會(huì)被自動(dòng)引導(dǎo)到有主人聯(lián)系信息的 URL,查看所提供的聯(lián)系信息不需要登錄或個(gè)人信息。

據(jù) KrebsOnSecurity 稱(chēng),丟失模式并不能防止用戶(hù)在電話(huà)號(hào)碼字段中注入任意的計(jì)算機(jī)代碼,因此掃描 AirTag 的人可能會(huì)被轉(zhuǎn)到一個(gè)虛假的 iCloud 登錄頁(yè)面或其他惡意網(wǎng)站。不知道查看 AirTag 的信息不需要個(gè)人信息的人,可能會(huì)被騙提供他們的 iCloud 登錄信息或其他個(gè)人信息,或者被重定向到試圖下載惡意軟件。

這個(gè) AirTag 缺陷是由安全顧問(wèn) Bobby Raunch 發(fā)現(xiàn)的,他告訴 KrebsOnSecurity,該漏洞使 AirTags 變得危險(xiǎn)。他說(shuō):“我不記得還有另一個(gè)例子,像這樣低成本的小型消費(fèi)級(jí)追蹤設(shè)備可以被武器化”。

Rauch 于 6 月 20 日聯(lián)系了蘋(píng)果公司,蘋(píng)果公司花了幾個(gè)月時(shí)間進(jìn)行調(diào)查。蘋(píng)果上周四告訴羅奇,它將在即將到來(lái)的更新中解決這一漏洞,并要求他不要在公開(kāi)場(chǎng)合談?wù)撨@個(gè)問(wèn)題。

蘋(píng)果公司沒(méi)有回答他的問(wèn)題,即他是否會(huì)得到獎(jiǎng)勵(lì),或者他是否有資格參加漏洞賞金計(jì)劃,所以他決定分享這個(gè)漏洞的細(xì)節(jié),因?yàn)樘O(píng)果公司缺乏溝通。

Rauch 說(shuō):“我告訴他們,如果你們能提供一些細(xì)節(jié),說(shuō)明你們計(jì)劃何時(shí)補(bǔ)救這個(gè)問(wèn)題,以及是否會(huì)有任何表彰或漏洞賞金,我愿意與你們合作。但是他們的回應(yīng)基本上都是‘如果你不泄露這個(gè),我們會(huì)很感激’”。

上周,安全研究員丹尼斯·托卡雷夫(Denis Tokarev)在蘋(píng)果公司忽視他的報(bào)告并在幾個(gè)月內(nèi)未能修復(fù)這些問(wèn)題后,公開(kāi)了幾個(gè)零日的 iOS 漏洞。此后,蘋(píng)果公司進(jìn)行了道歉,但該公司因其漏洞賞金計(jì)劃和對(duì)報(bào)告的反應(yīng)遲緩而繼續(xù)受到批評(píng)。