建站
咨詢
售后
建站咨詢
新聞中心
這里有您想知道的互聯(lián)網(wǎng)營銷解決方案
研究人員發(fā)布了針對三個iOS零日漏洞的PoC漏洞利用代碼
據(jù)Securityaffairs 9月24日消息，一位匿名研究人員在 GitHub 上公布了針對三個 iOS 零日漏洞和一個缺陷的概念驗證利用代碼。
研究人員聲稱，專家們在今年3月10日至5月4日間發(fā)現(xiàn)了這四個零日漏洞，并報告給了蘋果公司。但蘋果只在7月解決了IOS 14.7版本中的一個漏洞，且并未歸功于該研究人員。
剩下的三個漏洞在最新的IOS 15.0版本中仍然存在。他曾向蘋果溝通，蘋果承諾會在一下次版本更新時添加至安全內(nèi)容頁面，但蘋果每一次都并未兌現(xiàn)。
研究人員們把發(fā)現(xiàn)的零日 PoC 源代碼上傳至GitHub 存儲庫列表中，這些存儲庫也與蘋果共享。專家解釋說，每個存儲庫都包含一個應(yīng)用程序，用于收集敏感信息并將其呈現(xiàn)在 UI 中。
這些漏洞包括：
- 游戲零日
- Nehelper 枚舉已安裝的應(yīng)用程序零日
- Nehelper Wifi 信息零日
- Analyticsd(在 iOS 14.7 中修復(fù))
研究人員解釋說，在 iOS 14.7 中解決的 Analyticsd 可以允許任何用戶應(yīng)用安裝程序訪問大量信息，如分析日志，包括：
- 醫(yī)療信息(心率、檢測到的房顫和心律不齊事件的計數(shù))
- 月經(jīng)周期長度、生理性別和年齡等。
- 設(shè)備使用信息(不同上下文中的設(shè)備拾取、推送通知計數(shù)和用戶操作等)
- 具有各自捆綁 ID 的所有應(yīng)用程序的屏幕時間信息和會話計數(shù)
- 有關(guān)設(shè)備配件及其制造商、型號、固件版本和用戶指定名稱的信息
- 應(yīng)用程序因捆綁 ID 和異常代碼而崩潰
- 用戶在 Safari 中查看的網(wǎng)頁語言
研究人員表示：“所有這些信息都被蘋果出于未知的目的收集，這非常令人不安，尤其是正在收集醫(yī)療信息這一事實。這就是為什么蘋果聲稱他們非常關(guān)心隱私是非常虛偽的 。即使在設(shè)置中關(guān)閉了“共享分析”，所有這些數(shù)據(jù)也會被收集并可供攻擊者使用。”
當(dāng)前名稱：研究人員發(fā)布了針對三個iOS零日漏洞的PoC漏洞利用代碼
本文URL：http://www.5511xx.com/article/cogohdi.html
