Ekspert ds. cyberbezpieczeństwa odkrył lukę, która wpływa na aplikację Mail systemu iOS i naraża dane użytkowników na niebezpieczeństwo
Apple's email client, Mail app, jest niebezpieczny, ponieważ posiada poważną lukę. I to już od bardzo dawna: od premiery iOS 6 w 2012 roku. Zostało to odkryte przez firmę ZecOps, która uważa również, że luka została już wykorzystana co najmniej raz.
Wykorzystując tę lukę, haker może wykonać złośliwy kod (tj. złośliwe oprogramowanie lub wirus) na urządzeniu danej osoby, w niektórych przypadkach bez konieczności klikania na jakiekolwiek linki lub pobierania plików: jest to błąd w aplikacji Mail i systemie iOS, który można wykorzystać, wysyłając ofierze zwykłą wiadomość e-mail. Problem, jak wyjaśnia ZecOps, polega na tym, że urządzenia z systemem iOS 13 są jeszcze łatwiejsze do zaatakowania niż te z iOS 12 lub wcześniejszym. Pierwszy prawdziwy przypadek ataku wykorzystującego tę lukę, według firmy zajmującej się bezpieczeństwem elektronicznym, miał miejsce w styczniu 2018 roku, kiedy to zaatakowano urządzenie z systemem iOS 11.2.2. Rozwiązanie? Nie ma żadnej: Apple nie wydało jeszcze poprawki dla systemu operacyjnego ani aplikacji Mail, która mogłaby usunąć tę lukę.
Dlaczego aplikacja Mail jest niebezpieczna
Luka odkryta przez ZecOps składa się z błędu, który pozwala hakerowi na zdalne wykonanie kodu, jeśli wyśle potencjalnej ofierze wiadomość e-mail, która zużywa dużo pamięci RAM. Nie ma potrzeby, aby wiadomość była duża, ale po prostu pakowanie wiadomości e-mail w sposób, który zwiększa zużycie pamięci dramatycznie. Gdy to się uda, luka zaczyna działać, ale ZecOps nie opisał jej szczegółowo, by dać Apple czas na załatanie dziury.
Nie trzeba klikać
Luka może zostać aktywowana przed pobraniem całego maila, więc jego zawartość niekoniecznie pozostanie na urządzeniu, a co za tym idzie, może nawet nie pozostawić po sobie śladu. Możliwe, że takich ataków było wiele i nikt ich nie zauważył. Dzieje się tak również dlatego, że w iOS 13 użytkownik nie musi klikać na żadne linki ani pobierać załączonych plików. W systemie iOS 12 i wcześniejszych wymagane jest jednak działanie użytkownika. W każdym przypadku atak rozpoczyna się jeszcze przed wyświetleniem przez urządzenie wiadomości e-mail. ZecOps radzi wszystkim użytkownikom Apple, aby nie korzystali z aplikacji Mail i tymczasowo zastąpili ją inną.