Оновлення iOS 15.3 від Apple виправляє критичну помилку в безпеці Safari

Компанія Apple щойно випустила iOS 15.3, і хоча це останнє оновлення не додає жодних значних нових функцій, воно усуває щонайменше один критичний недолік у системі безпеки. Раніше цього місяця інженер-програміст Мартін Баянік з FingerprintJS виявив серйозну вразливість у браузері Safari 15, що входить до складу iOS 15 та iPadOS 15, яка могла призвести до витоку інформації про історію переглядів і навіть облікових даних з онлайн-сервісів, якими користується людина, таких як Google, YouTube, Amazon, а також сайтів, що використовують WordPress.

Як пояснює Баянік, багато веб-сайтів використовують API під назвою IndexedDB для запиту до таких браузерів, як Safari та Chrome, зберігати інформацію в локальній базі даних на пристрої користувача. За нормальних обставин даний веб-сайт повинен мати можливість запитувати інформацію тільки про ті бази даних, які він створив – будь-які інші повинні бути для нього невидимими.

На жаль, виявилося, що браузер Safari в iOS 15 не зовсім дотримувався цих правил. Хоча він не видавав ніякої інформації, що зберігається в цих базах даних, він з радістю надавав повний список всіх локальних баз даних будь-якому веб-сайту, який запитував.

• Щойно придбали новий iPhone? Ось 12 порад та підказок для його освоєння
• Ця прихована функція iOS 16 перетворила мій iPhone на ідеальний гаджет для пошуку музики
• Apple може зробити немислиме – дозволити сторонні магазини додатків для iPhone

Хоча на перший погляд це може здатися відносно нешкідливим, проблема полягає в тому, що багато сервісів використовують конфіденційну інформацію для цих назв баз даних. Наприклад, Google використовує внутрішній унікальний і специфічний для користувача ідентифікатор, який дозволяє будь-кому, хто увійшов у свій обліковий запис Google, бути “унікально і точно ідентифікованим”. Баджанак зазначає, що цей ідентифікатор користувача Google може навіть передаватися в Google API для отримання публічної інформації про власника облікового запису, наприклад, його ім’я та фотографію профілю.

Що ще гірше, це не тільки дозволяє зловмисному веб-сайту дізнатися особу користувача, але також може бути використано для отримання списку декількох облікових записів, що належать одній і тій же особі. Це може створити серйозне порушення конфіденційності в ситуаціях, коли хтось використовує анонімний обліковий запис, який ніяк не пов’язаний з його особистою ідентичністю. Хакер, який використовує цей недолік, може встановити зв’язок, виявивши, що одна і та ж особа зберігає інформацію для обох облікових записів у своєму браузері.

Цей недолік також легко використовувати. Баджанак пояснює, що “вкладка або вікно, яке працює у фоновому режимі і постійно запитує API IndexedDB про доступні бази даних, може дізнатися, які інші веб-сайти відвідує користувач в режимі реального часу”, що дозволяє хакерам збирати дані про цілі, просто розміщуючи шкідливий код на зовні законному веб-сайті.

Виправлення безпеки в iOS 15.3

У порівнянні з захоплюючими функціями, які з’явилися в останніх кількох великих випусках iOS, оновлення iOS 15.3, випущене на цьому тижні, може здатися досить нудним, але не варто ставитися до нього легковажно. Насправді, ще важливіше оновитися до iOS 15.3 якомога швидше.

iOS 15.3 не тільки виправляє цю особливо неприємну діру в безпеці в Safari, але, згідно з примітками до релізу Apple, є ще дев’ять важливих виправлень безпеки, в тому числі одне, яке, як зазначає Apple, “могло активно використовуватися”.

Інші вразливості безпеки, усунуті в iOS 15.3, включають помилку в iCloud, яка могла дозволити програмам обійти захист і отримати доступ до файлів користувача, а також кілька інших сценаріїв, в яких шкідливі програми могли знайти способи отримати привілеї root або довільно виконувати код для виконання того, що їм не повинно бути дозволено.

Рекомендації редакції

• Підступне оновлення iOS змусило мене знову захопитися iPhone 14 Pro
• У 2023 році Apple повинна виправити свій ганебний ліміт на 5 ГБ в iCloud
• Новий постійно включений дисплей iOS 16.2 змусив мене зненавидіти мій iPhone 14 Pro
• iOS 16.2 вже тут, додаючи Apple Music Sing (плюс багато іншого) на ваш iPhone
• iPhone 15 Ultra за 1300 доларів – це смішно, і Apple збирається вийти сухим з води

Source: digitaltrends.com