Hackare kan förvandla AirTags till nätfiskemaskiner med detta enkla utnyttjande

Äpple

Apples senaste säkerhetsproblem är både förödande och skrattretande. Förra veckan fick vi veta att företaget patchade en macOS-exploatering på det lataste sätt som möjligt, och nu står företaget inför motreaktioner för en amatörmässig AirTags-sårbarhet som det har känt till i flera månader och aldrig brytt sig om att fixa.

AirTags rensar inte "telefonnummer"

AirTags är små spårare som fästs på ryggsäckar, väskor, bagage och andra värdesaker. Om någon tappar bort sin AirTag-utrustade väska kan de spåra dess plats med hjälp av Find My-nätverket, som drivs anonymt av iPhones och andra Apple-enheter.

Men oftare än inte hittas förlorade artiklar av främlingar. Det är därför AirTags har ett "förlorat läge", en inställning som låter barmhärtiga samariter skanna spåraren för att se ägarens telefonnummer. Det är enkelt att skanna – du trycker bara på AirTag med din iPhone.

Tyvärr kan ett designfel i AirTags förvandla spårarna till billiga verktyg för droppattacker. Som upptäckts av säkerhetsforskaren Bobby Rauch rensar Apple inte inmatningsfältet för telefonnummer som AirTag-ägare fyller i när de ställer in sina spårare. Du kan klistra in vad som helst i det här inmatningsfältet, inklusive skadlig kod.

Och det är ett stort problem. När du skannar en förlorad AirTag ger den ägarens "telefonnummer" till din iPhone. Din iPhone bäddar sedan in "telefonnumret" på en https://found.apple.com/ webbsida. Så om en förlorad AirTags telefonnummer är fullt av skadlig XSS-kod, kommer Apples webbplats att bädda in det, inga frågor ställda.

Denna sårbarhet gör riktade nätfiskeförsök extremt lätta. En hackare kan programmera en falsk iCloud-inloggningsruta att dyka upp när deras "förlorade" AirTag till exempel skannas. De kan sedan plantera denna AirTag nära ett offers bil eller ytterdörr för att säkerställa att den upptäcks och skannas.

Hackare kan också använda denna sårbarhet för att utlösa webbläsarbaserade zero-day exploits på en iPhone. Dessa exploateringar kan krascha eller blockera din iPhone, men för att vara rättvis skulle ett sådant utnyttjande inte riktigt gynna en hackare (och det finns mycket enklare sätt att leverera sådana bedrifter).

Apples tillbringade månader på sina händer

Bobby Rauch, forskaren som upptäckte denna sårbarhet, rapporterade den till Apple den 20 juni. Företaget ägnade tre månader åt att berätta för Rauch att det undersökte problemet och vägrade berätta för honom om han skulle få kredit eller en belöning för sin upptäckt (detta är standardbelöningar för att följa Apples bug-bounty-program ).

Apple bad Rauch att inte "läcka" felet, men vägrade att arbeta med honom eller ge en tidslinje för en patch. Han varnade företaget för att han skulle ta ut sårbarheten offentligt efter 90 dagar och gjorde det till slut i ett Medium blogginlägg. Ändå har Apple inte kommenterat problemet offentligt, även om det tidigare berättat för Rauch att de har för avsikt att åtgärda problemet.

Tekniskt sett borde detta vara en mycket enkel lösning. Apple behöver inte driva en uppdatering för iPhone eller AirPods; den behöver bara få https://found.apple.com/-webbsidan att rensa inkommande "telefonnummer". Men jag hoppas att Apple tar stegen för att helt lösa detta problem. Företaget fortsätter att göra dumma misstag och skjuta halvdana patchar för saker som borde ha varit säkra vid lanseringen.

För att inte nämna, vägrar Apple att kommunicera med människor som försöker rapportera problem genom sitt officiella bug-bounty-program. Om Apple menar säkerhet på allvar måste de ta itu med sårbarheter i programvara snabbt och börja behandla säkerhetsexperter med respekt. Trots allt gör många av dessa säkerhetsexperter Apples arbete gratis.

Är det säkert att skanna AirTags?

Den här nyheten bör inte avskräcka dig från att skanna AirTags, även om det borde göra dig mer vaksam. Om du till exempel blir ombedd att logga in på iCloud eller ett annat konto efter att ha skannat en AirTag, så är det något som händer – Apple ber inte om någon inloggningsinformation när en legitim AirTag skannas.

En AirTag som lämnas av sig själv är också en röd flagga … typ. Eftersom dessa spårare inte har inbyggda nyckelringar, kan de ramla ur väskorna eller fly från billiga hölster. I de flesta fall är en ensam AirTag resultatet av slarv.

Hur som helst, ingen tvingar dig att skanna AirTags. Om du hittar ett förlorat föremål med en AirTag och inte är bekväm med att skanna det, kan du ta det till Apple Store (eller en polisstation, antar jag) och göra det till sitt problem. Vet bara att det förmodligen inte är någon fara att skanna den, så länge du inte skriver in någon inloggningsinformation i AirTags webbläsar-popup.

Källa: Bobby Rauch via Krebs on Security, Ars Technica