IPhone може да се обажда на всякакви номера без ваше знание поради тази уязвимост

Колко често се случва ситуация, когато потребител отваря връзка, изпратена от приятел във Facebook, Google+ или Gmail, и след това се занимава с друг бизнес, без да чака пълното му зареждане? В планетарен мащаб - поне често и това е сериозна причина да се замислим за следващия проблем.

Това са връзки „тел“, които ви позволяват да осъществявате обаждания директно от браузъра или чрез webView на всяко приложение. Факт е, че стандартният уеб браузър Safari не позволява на програмата да премине директно към набиране на номер, докато потребителят не потвърди действието в специален изскачащ прозорец. Тази функция за сигурност обаче не е налична за приложения на трети страни. Авторът, който е открил тази уязвимост, отбелязва, че този нюанс е описан подробно в техническата документация на Apple, което означава, че компанията всъщност се отказва от всякаква отговорност за възможни последици.

Проблемът е, че дори услуги като Facebook Messanger, Google+ и Gmail (да не говорим за по-малките компании) не намериха за необходимо да добавят собствено известие, за да потвърдят действието при обработката на тел връзки. До този момент обаче всичко изглежда повече или по-малко безобидно - щракнете върху връзката, отидете на страницата, която от своя страна съдържа връзката "тел" и едва след щракване върху нея започва набирането. Въпреки това, използвайки прост скрипт на Java, авторът на публикацията създава страница с връзка „само кликване“, тоест той всъщност е осъществил директно пренасочване - щракнете върху връзката в съобщението и визуално вашият iPhone веднага преминава към набиране на номера. Изглежда така:

Колко опасна е тази уязвимост? На теория - много, много, с помощта на платени номера и голяма база данни с хакнати акаунти (което в наше време изобщо не е трудно да се придобие), нападателите биха могли да спечелят милиони долари, като печелят от всеки зеещ потребител. Съвсем друг е въпросът, че е доста трудно да се скрият финансовите следи от такава измама в голям мащаб, която най-вероятно досега задържа феновете на не съвсем честните интернет печалби.

Вижте също:

• Apple и ФБР са загрижени за изтичането на интимни образи на звезди.
• Уязвимостта в браузъра Chrome позволява подслушване на потребителски разговори.
• Adobe пусна поправка за критична уязвимост на Flash Player за Windows и Mac.
• Уязвимостта на Siri в iOS 7.1.1 - заключването с парола вече не е защита на поверителността.