Falhas não corrigidas colocam milhões em risco!

-iPhone -Vulnerabilidade

Os últimos modelos de iPhone não são exatamente produtos baratos. Nem todos podem, portanto, comprar um novo dispositivo iOS “flash”. Felizmente, a Apple oferece suporte a dispositivos com quase dez anos de idade, como o iPhone 6S. Basta dizer que o sistema operacional iOS 15.8, ainda usado como o “coração pulsante” dos dispositivos do passado, ainda recebe atualizações de segurança, úteis para solucionar as vulnerabilidades mais críticas. A página testemunha esta informação de conteúdo de segurança que confirma as alterações aplicadas pelos técnicos da Apple ao antigo sistema operacional iOS 15.8.

Na verdade, A Apple não corrige todas as vulnerabilidades do iOS quando falamos sobre as versões da plataforma que agora são mais antigas. O pesquisador confirma isso e o desenvolvedor Joshua Rogers, atualmente funcionário da Opera Software, empresa que cria e distribui o navegador do jogo homônimo.

A Apple não corrige algumas vulnerabilidades em versões mais antigas do iOS

Para respaldar suas afirmações, Rogers cita uma vulnerabilidade corrigida pela equipe de desenvolvimento do projeto Chromium em 28 de junho de 2023. Essa é a falha marcada com o identificador CVE-2023-4357 que me interessa mecanismos de renderização de web páginas na íntegra.

A falha de segurança, se não for resolvida com a aplicação dos patches lançados pelos diversos desenvolvedores, pode permitir a exposição do conteúdo dos arquivos armazenados localmente. Tomemos como exemplo o recurso/etc/passwd no iOS: na ausência de uma atualização corretiva, seu conteúdo pode ser roubado por criminosos cibernéticos simplesmente visitando uma página da web maliciosa.

No iOS, como se sabe, a Apple só permite o uso do mecanismo de renderização WebKit para todos os desenvolvedores de navegadores. A falha de segurança CVE-2023-4357, porém, não diz respeito apenas ao Blink , ou ao mecanismo de renderização de código aberto desenvolvido pelo Google e disponibilizado para todos aqueles que criam projetos derivados do Chromium, mas também do WebKit.

Quais dados podem ser roubados de iPhones mais antigos

Embora a Apple também tenha atualizado recentemente (final de outubro de 2023) o antigo iOS 15.8, Rogers verificou que a vulnerabilidade CVE-2023-4357 está sempre presente e permanece atualmente explorável em modo remoto.

Qualquer página da web maliciosa visitada por alguém que ainda usa um iPhone 6S (ou possivelmente alguns modelos posteriores…) pode roubar silenciosamente o conteúdo de alguns arquivos internos do sistema. Dentro de AddressBook.sqlitedb você encontrará todas as informações da agenda pessoal do usuário e quaisquer contatos salvos; call_history.db contém todas as chamadas recebidas, discadas e perdidas; SMS/call_history.db hospeda o histórico de SMS enviados e recebidos. Todas essas informações podem ser coletadas e adquiridas ilicitamente por terceiros desconhecidos.

Rogers não descarta a possibilidade de se apoderar também do histórico de navegação ( History.plist ) e dos cookies do navegador, inclusive os de autenticação, que poderiam ser explorados para levar a possíveis ataques de roubo de identidade ( Cookies. lista).

Depois de relatar o problema à Apple, a empresa respondeu laconicamente, convidando-os a verificar se tais problemas podem ser reproduzidos com o iOS 17 e versões seguintes.

Tenha cuidado com dispositivos Apple antigos: algumas falhas ainda podem estar presentes

O pesquisador e programador do Opera se pergunta, neste momento, se a Apple realmente se limita a solucionar vulnerabilidades presentes em versões antigas do iOS apenas quando elas podem ser utilizadas para a aquisição de privilégios de root ou para o jailbreaking do aparelho. E ele observa que com uma exploração recente que tem como alvo a pilha Bluetooth do iOS (entre outros sistemas operacionais) ainda funciona em todas as versões do iOS, exceto na versão 17 e posterior.

barra lateral inferior relacionada 300

*️⃣ Link da fonte:

Informações sobre conteúdo de segurança , O pesquisador confirma isso , CVE-2023-4357 ,