خبر

  • تک بورد - Apple AirTags در برابر حملات تزریق XSS ذخیره شده آسیب پذیر است

    Apple AirTags در برابر حملات تزریق XSS ذخیره شده آسیب پذیر است
    19 روز و 9 ساعت قبل

    PSA: هشدار دهید: Apple AirTags در حال حاضر در برابر حملات ذخیره شده برنامه نویسی (XSS) آسیب پذیر هستند. از جمله سوء استفاده های مختلف XSS ، تغییر مسیر ساده سایت است. اگر یک AirTag پیدا کردید و از شما خواسته شد تا برای آگاهی از مالک به iCloud وارد شوید ، یک تگ \ "armized \" پیدا کرده اید. مدارک خود را وارد نکنید! برای گزارش ورود شما به AirTag نیازی به ورود نیست.

    یک محقق امنیتی کشف کرده است که AirTag های اپل در برابر حملات تزریق کد XSS آسیب پذیر هستند. یک مهاجم به سادگی باید کد مخرب را قبل از قرار دادن fob در حالت گمشده در قسمت شماره تلفن وارد کند ، سپس آن را در جایی رها کند تا قربانی مشکوک پیدا کند.

    وقتی سامری خوب AirTag را پیدا کرده و آن را اسکن می کند برای گزارش آن در صورت یافتن ، کد می تواند قربانی را به صفحه ورود کلون شده iCloud هدایت کند که اطلاعات کاربر را با یک keylogger ثبت می کند. سپس می تواند به وب سایت واقعی Apple Found بازگردد ، که نیازی به ورود به سیستم ندارد و روند گزارش دهی می تواند به صورت عادی ادامه یابد.

    بابی راچ ، مشاور امنیتی مستقر در بوستون ، صفر نقص روز در ماه ژوئن او این آسیب پذیری را به اپل اطلاع داد و 90 روز قبل از افشای آن در اختیار عموم قرار داد. در حین انتظار ، اپل هرگز با او در مورد این که آیا راه حلی در راه است یا نه و یا جایزه اشکال به وی تعلق می گیرد ، تماس نگرفت. روی رفع مشکل کار می کرد با این حال ، هیچ زمان بندی برای زمان وصله در دسترس نداشت.

    علاوه بر هدایت قربانیان به یک وب سایت فیشینگ ، راوچ گفت که انواع دیگر تزریقات ، از جمله ربودن توکن جلسه ، کلیک کردن ، و غیره امکان پذیر است. و بیشتر.

    "یک مهاجم می تواند ایرتگ های مسلح ایجاد کند و آنها را کنار بگذارد و افراد بیگناهی را قربانی کند که به سادگی به یک فرد کمک می کنند تا ایرتگ گمشده خود را پیدا کند. ">

    < p> نمونه ای از نحوه عملکرد حمله تغییر مسیر را می توانید در فیلم بالا مشاهده کنید. یک کاربر باهوش ممکن است متوجه تغییر دامنه از "found.apple.com " به "10.0.1.137، " شود ، اما یک فرد معمولی حتی ممکن است متوجه موارد مشکوک نشود. مهاجم همچنین می تواند از نام دامنه ای استفاده کند که به راحتی نادیده گرفته می شود.

    قوی ترین کاهش این سوء استفاده ، دانش است. کاربران باید بدانند که برای گزارش AirTag پیدا شده ، نیازی به ورود نیست. با این حال ، این امر خطرات قربانی شدن انواع دیگر تزریق را از بین نمی برد.





خبرهای دیگر از اپل