Af Charlie Osborne for Zero Day | 13. september 2021 – 14:19 GMT (15:19 BST) | Emne: Sikkerhed
En Detectify -forsker har forklaret, hvordan en undersøgelse af Apple CloudKit førte til utilsigtet nedetid i genvejsfunktioner for brugere.
I marts begyndte Apple -brugere at rapportere fejlmeddelelser, da de forsøgte at åbne delte genveje. Som bemærket af 9to5Mac var dette bizarre problem særlig bekymrende for indholdsskabere, der delte genveje med deres følgere via iCloud, som pludselig fandt ud af, at deres links var brudt.
Rapporter begyndte at dukke op den 24. marts. En dag senere fortalte iPad- og iPhone-producenten MacStories-chefredaktør Federico Viticci, at virksomheden “arbejdede på at gendanne tidligere delte genveje så hurtigt som muligt.”
Ifølge Detectify Knowledge Advisor og bug bounty hunter Frans Rosén var årsagen til problemet en fejlkonfigurationsfejl, han ved et uheld faldt over – og udløste – i Apple CloudKit.
Mandag offentliggjorde Rosén detaljer om situationen, hvor han undersøgte sikkerheden ved Apple -tjenester. Roséns efterforskning begyndte i februar, og især ønskede han at undersøge CloudKit -rammerne, en platform til at skabe containere, der er egnede til datalagring i Apples økosystem.
Rosén siger, at han bemærkede, at mange af Apples egne applikationer lagrede oplysninger i databaser baseret på CloudKit. Han var “nysgerrig” efter at vide, om specifikke apps data kunne ændres ved at få adgang til deres offentlige CloudKit -containere.
Forskeren fandt ud af, at forskellige API'er blev brugt til at oprette forbindelse til CloudKit. Ifølge Rosén er der tre anvendelsesområder i containerne: Privat (information er kun tilgængelig for dig), Delt (deles mellem brugere) og Offentlig (tilgængelig for alle). Zoner er også indstillet med varierende tilladelsesniveauer.
Rosén begyndte at teste disse tilladelser og fandt flere sårbarheder i CloudKit vedrørende iCrowd+, Apple News og genveje, som tillod ham at manipulere med indhold, herunder lagerposter.
Det mest fremtrædende og offentlige problem, der blev fundet i genveje i løbet af marts, “fik alle genveje til deling af links til at bryde, og det blev hurtigt bemærket blandt Apple -brugere, mediereportere og især genveje -fans,” sagde Detectify.
Ifølge Rosén havde han tidligere testet forskellige måder at slette offentlige zoner på, og tilladelse blev altid nægtet – men i Shortcuts CloudKit -databasen var forskeren overraskende i stand til at oprette zoner og fik også en “OK” besked i et forsøg på at slette en standardzone.
En forkert konfiguration fra Apples side forårsagede dette.
“Alle var væk,” sagde forskeren. “Jeg indså nu, at sletningen på en eller anden måde virkede, men at _defaultZone aldrig forsvandt. Da jeg forsøgte at dele en ny genvej, virkede den heller ikke, i hvert fald ikke til at begynde med, sandsynligvis på grund af at rekordtyperne også blev slettet. “
På dette tidspunkt rakte Rosén ud til Apples sikkerhedsteam, der bad ham om at stoppe med at teste med det samme. Apple Security gik derefter i gang med at løse problemet, genoprette genvejsfunktioner og lappe problemet i processen ved at forfine dens sikkerhedskontroller og fjerne mulighederne for både at oprette nye og slette eksisterende offentlige zoner.
Det skal bemærkes, at pausen ikke gav forskeren adgang til nogen bruger eller følsomme data.
Selvom det var utilsigtet og forårsagede ikke kun panik for forskeren, men også utilsigtet nedetid for brugerne, blev Rosén tildelt en fejl på $ 28.000 dusør for sin opdagelse via Apple Security Bounty -programmet.
“Det nærmer sig CloudKit for fejl viste sig at være meget sjovt, lidt skræmmende og et rigtig godt eksempel på, hvad et rigtigt dybt dykke ned i én teknologi kan resultere i, når man jagter bugs,” kommenterede Rosén. “Apple Security -teamet var utroligt hjælpsomt og professionelt under hele processen med at rapportere disse problemer.”
Sårbarhederne i iCrowd+ og Apple News gav ham også belønninger på $ 12.000 og $ 24.000.
“Vi vil gerne takke denne forsker for at arbejde side om side med os for at holde vores brugere og deres data sikre,” sagde en talsmand for Apple til ZDNet. “Han rapporterede straks sine handlinger, så vi hurtigt kunne løse de dokumenterede problemer og gendanne funktionalitet, efter at forskeren utilsigtet havde afbrudt muligheden for at bruge iCloud -delingslink til genveje.”
Tidligere og relateret dækning
Epic Games appelbeslutning truffet i kartelsag mod Appleamerikanske dommerregler Apple kan ikke blokere køb i app-Apple bekræfter fire nye iPhones og en grim overraskelse for iPhone 12-ejere
< stærk> Har du et tip? Kom sikkert i kontakt via WhatsApp | Signal på +447713 025 499 eller derover på Keybase: charlie0
Apple
Han ejer 150 Mac'er. Nu har han skabt den eneste ting, som Apple -fans desperat har brug for at migrere til M1 -Mac'er: Hvordan jeg opgraderer min lille flåde af ældre Apple -stationære computere og bærbare computere iPhone 12 er ikke den eneste Apple -enhed, der kan forstyrre implanteret medicinsk udstyr. iOS 15 offentlig beta på din iPhone Jeg er ligeglad med, hvad du siger om M1: 2018 Intel Mac mini er stadig et dyr iPadOS 15 praktisk gennemgang: Hvad virker og virker ikke Den bedste iPhone: Hvilken model er den rigtige for dig? Den bedste iPad: Hvilken iPad -model skal du købe?
Relaterede emner:
Apple Security TV Data Management CXO-datacentre 