Apple ha rilasciato iOS 13.3 e iPadOS 13.3 al pubblico, ed oltre alle nuove funzionalità e opzioni di personalizzazione descritte a, l’aggiornamento include anche un’importante correzione di sicurezza per una vulnerabilità di AirDrop che ha permesso a un utente malintenzionato di “rendere in remoto qualsiasi iPhone o iPad nelle vicinanze inutilizzabile“.
La vulnerabilità è stata scoperta da Kishan Bagaria, che lo ha segnalato ad Apple in agosto. Apple ha affermato che stava lavorando ad una correzione per la vulnerabilità a novembre e ha chiesto a Bagaria di non rivelare il problema fino a quando iOS 13.3 non sarebbe stato rilasciato al pubblico.
Quando si riceve un file AirDrop, un PiPhone o iPad blocca il display fino a quando la richiesta in arrivo viene accettata o rifiutata. iOS non ha limitato il numero di richieste che un dispositivo può accettare, quindi con ripetute richieste di messaggi, un utente malintenzionato è stato in grado di inviare file più e più volte per causare il blocco del dispositivo iOS in loop.
I dispositivi con AirDrop impostato su “Tutti” erano principalmente vulnerabili all’attacco, che non è l’impostazione predefinita di AirDrop. AirDrop è limitato ai Contatti e l’impostazione “Tutti” deve essere abilitata manualmente.
Di seguito puoi vedere il video del bug in azione. Ecco come Bagaria descrive il bug:
Ho scoperto un bug denial-of-service in iOS che sto chiamando AirDoS che consente a un utente malintenzionato di spammare all’infinito tutti i dispositivi iOS vicini con il popup di condivisione AirDrop. Questo popup di condivisione blocca effettivamente l’interfaccia utente, quindi il proprietario del dispositivo non sarà in grado di fare nulla sul dispositivo tranne Accettare / Rifiutare il file, che continuerà a riapparire.
iOS 13.3 e iPadOS 13.3 risolvono questa vulnerabilità. Bagaria afferma che la soluzione di Apple è stata quella di implementare un limite di tasso. Ciò significa che dopo aver rifiutato tre volte una richiesta AirDrop dallo stesso dispositivo, iOS rifiuterà automaticamente tutte le richieste successive.
Leggi o Aggiungi Commenti