חוקרי גוגל מצאו חולשה המשפיעה על מרבית מערכות ההפעלה של אפל
חוקרים מצוות Project Zero של גוגל מצאו חולשה במסגרת קוד האחראי לעיבוד תמונות במערכות ההפעלה של אפל. החולשה יודעת לנצל עיבוד של 25 סוגי תמונה. טרם שוחרר עדכון
עמי רוחקס דומבה
| 29/04/2020
https://www.apple.com/il/macos/catalina
בדו"ח שפורסם השבוע מטעם Project Zero, צוות ציידי הבאגים של גוגל, נטען כי הם התבוננו באחד ממרכיבי עיבוד המולטימדיה של אפל, וזה ככל הנראה משטח התקפה אטרקטיבי המאפשר פריצה שקטה למשתמשי מוצרי אפל. ליתר דיוק, חוקרי Project Zero הסתכלו על ImageIO, מסגרת המובנית בכל מערכות ההפעלה של אפל ומשמשת לניתוח ועבודה עם קבצי תמונות. המחקר נעשה על פונקציית UIImage בAPI של אפל המשמש תוכנות מסרים מיידים.
המסגרת נמצאת בiOS, macOS, tvOS ו- watchOS, ורוב האפליקציות הפועלות במערכות הפעלה אלה מסתמכות עליה כדי לעבד מטא נתונים של תמונות. בגלל התפקיד המרכזי שלה בכל אפליקציות אפל, היא משטח התקפה מסוכן שמאפשר מטבעו וקטור חדירה "ללא קליק" לכל תוקף.
"מטרת קוד זה היא להציג גרסה בגודל קטן יותר של תמונת הקלט לשימוש כתמונה ממוזערת בהתראה למשתמש. באופן לא מפתיע, קוד דומה ניתן למצוא גם באפליקציות מסרים אחרות. בעיקרו של דבר, קוד כמו זה שמוצג לעיל הופך את ניתוח תמונה של UIImage של Apple ושל קוד עיבוד תמונה של CoreGraphics למשטח התקפה 0click", כותב החוקר של גוגל. על פי החוקר, החולשה יודעת לנצל 25 סוגים פופולאריים של קבצי תמונה העוברים עיבוד במסגרת הקוד לעיל.
חוקרים מצוות Project Zero של גוגל מצאו חולשה במסגרת קוד האחראי לעיבוד תמונות במערכות ההפעלה של אפל. החולשה יודעת לנצל עיבוד של 25 סוגי תמונה. טרם שוחרר עדכון
https://www.apple.com/il/macos/catalina
בדו"ח שפורסם השבוע מטעם Project Zero, צוות ציידי הבאגים של גוגל, נטען כי הם התבוננו באחד ממרכיבי עיבוד המולטימדיה של אפל, וזה ככל הנראה משטח התקפה אטרקטיבי המאפשר פריצה שקטה למשתמשי מוצרי אפל. ליתר דיוק, חוקרי Project Zero הסתכלו על ImageIO, מסגרת המובנית בכל מערכות ההפעלה של אפל ומשמשת לניתוח ועבודה עם קבצי תמונות. המחקר נעשה על פונקציית UIImage בAPI של אפל המשמש תוכנות מסרים מיידים.
המסגרת נמצאת בiOS, macOS, tvOS ו- watchOS, ורוב האפליקציות הפועלות במערכות הפעלה אלה מסתמכות עליה כדי לעבד מטא נתונים של תמונות. בגלל התפקיד המרכזי שלה בכל אפליקציות אפל, היא משטח התקפה מסוכן שמאפשר מטבעו וקטור חדירה "ללא קליק" לכל תוקף.
"מטרת קוד זה היא להציג גרסה בגודל קטן יותר של תמונת הקלט לשימוש כתמונה ממוזערת בהתראה למשתמש. באופן לא מפתיע, קוד דומה ניתן למצוא גם באפליקציות מסרים אחרות. בעיקרו של דבר, קוד כמו זה שמוצג לעיל הופך את ניתוח תמונה של UIImage של Apple ושל קוד עיבוד תמונה של CoreGraphics למשטח התקפה 0click", כותב החוקר של גוגל. על פי החוקר, החולשה יודעת לנצל 25 סוגים פופולאריים של קבצי תמונה העוברים עיבוד במסגרת הקוד לעיל.
