Cert-fi ja F-Secure varoittavat iPhonen turva-aukoista
4
Apple iOS:n suojaukset pystyy nyt ohittamaan yksinkertaisen web-sivun kautta. Se hyödyntää kahta vakavaa haavoittuvuutta, yhtä selaimessa ja toista käyttöjärjestelmän ytimessä. Aukkoja voisi käyttää myös hyökkäyksiin.
Applen iOS-käyttöjärjestelmässä paljastuneet kaksi haavoittuvuutta ovat hyvin vakavia, varoittavat Viestintäviraston Cert-fi-turvayksikkö ja tietoturvayhtiö F-Secure. Yhdessä niiden avulla rikollinen voi kaapata laitteen hallintaansa ja lisätä, muokata tai poistaa mitä tahansa tiedostoja. Apple ei ole vielä kommentoinut ongelmaa tai julkaissut siihen korjausta.
Cert-fi julkaisi iOS:ää koskevan haavoittuvuustiedotteen keskiviikkona. Myös Saksan vastaava viranomainen tiedotti asiasta.
Haavoittuvuus koskee iOS-käyttöjärjestelmään perustuvia iPad-, iPhone-, ja iPod touch -laitteita. Ensimmäinen haavoittuvuus on iOS:n Safari-selaimessa pdf-asiakirjojen kirjasinten käsittelyssä, minkä seurauksena haittakoodi voidaan ujuttaa mukaan tavalliselta näyttävään pdf-tiedostoon.
Toinen haavoittuvuus on iOS:n ytimessä, ja sen takia hyökkääjä pääsee Cert-fi:n mukaan laajentamaan käyttöoikeutensa sallitun ”hiekkalaatikon” (sandbox) ulkopuolelle.
Mikko Hyppönen sanoo, että käyttäjien on vaikea suojautua, jos iOS-haavoittuvuuksia vastaan tulee hyökkäyksiä. Hän harmittelee, etttei Apple ole sallinut tietoturvaohjelmia alustalle.
”Lopputuloksena tavallisen näköisen pdf-tiedoston avaus pystyy ajamaan iPhonessa mitä tahansa koodia ja tekemään mitä vain”, kertoo F-Securen tutkimusjohtaja Mikko Hyppönen Tietokoneelle. F-Secure on käsitellyt tapausta myös blogissaan.
Haavoittuvuuksiin on julkaistu julkinen hyväksikäytön menetelmä. Webissä sivussa www.jailbreakme.com poistaa laitteista jailbreak-lukituksen hyödyntämällä samoja turva-aukkoja.
Mikko Hyppönen sanoo, että tähän mennessä haavoittuvuuksia ei ole nähty käytettävän rikollisiin tarkoituksiin.
Hyppönen arvioi, että ulkopuoliset tahot voivat tutkia jailbreakme.com:n pdf-tiedoston ja toteuttaa tietojen pohjalta hyökkäyksen. ”Vaarallisia tiedostoja voitaisiin levittää esimerkiksi webin, sähköpostin tai tekstiviestien linkkien kautta. Kännykkämadon tekeminen tämän avulla olisi täysin mahdollista.”
Hyppösen mukaan tietoturvaongelma on merkittävä, koska käyttäjä ei voi suojautua mahdollisia hyökkäyksiä vastaan juuri mitenkään. ”Epäilyttäviin pdf-tiedostoihin ei kannata luottaa. Toisaalta hyökkäys voidaan toteuttaa niin, että käyttäjä ei edes näe että hyökkäys liittyy pdf-tiedostoihin.”
Haavoittuvuus on iOS:n 3.x- ja 4.x-versioissa, eikä siihen ole korjausta. Mikko Hyppönen arvioi, että Apple korjaa haavoittuvuudet lähitulevaisuudessa. Tietokone-lehti ei saanut Applen viestinnästä kommenttia asiaan.
