A seguridad El investigador ha demostrado que AirTags puede ser armado inyectando código en el campo del número de teléfono antes de colocarlo en modo Perdido y soltarlo en lugares estratégicos. manzana ha confirmado el hallazgo.

Cuando alguien encuentra el AirTag y lo escanea, será redirigido al sitio web elegido por el atacante, que podría incluir un mensaje falso. iCloud iniciar sesión para informar el hallazgo …

El consultor de seguridad con sede en Boston, Bobby Rauch, descubrió la vulnerabilidad en junio, informó a Apple y dijo que permitiría a la compañía 90 días antes de revelar públicamente la falla. Este período de 90 días es una práctica común en el campo de la seguridad, lo que permite a una empresa tener tiempo suficiente para emitir un parche y al mismo tiempo incentivarla para que lo haga con prontitud.

Sin embargo, dijo que Apple no lo solucionó dentro del período de 90 días, y tampoco le dijo cuándo lo haría, si se le acreditaría y si calificaría para una recompensa por error. En consecuencia, ahora ha revelado la vulnerabilidad.

Apple ha sido criticado por la comunidad infosec por la forma en que responde a los informes de fallas de día cero.

Cuando alguien encuentra un AirTag adjunto a un artículo, puede escanearlo con su iPhone o teléfono Android. Eso mostrará un número de teléfono ingresado por el propietario y también lo dirigirá a un enlace personalizado en https://found.apple.com que les permite alertar al propietario.

Sin embargo, Raunch encontrado que es posible inyectar código XSS en el campo del número de teléfono.

Un atacante puede ejecutar XSS almacenado en esta página https://found.apple.com, inyectando una carga útil maliciosa en el campo de número de teléfono «Modo perdido» de Airtag. Una víctima creerá que se le está pidiendo que inicie sesión en iCloud para que pueda ponerse en contacto con el propietario del Airtag, cuando en realidad el atacante la ha redirigido a una página de secuestro de credenciales.

Eso hará que el buen samaritano que escaneó el AirTag sea redirigido a otro sitio web. Uno probable sería un ataque de phishing utilizando un clon del sitio original que les pide que inicien sesión con sus credenciales de iCloud. Si el buscador escaneó la etiqueta con su iPhone, es posible que no piense en esto, inicie sesión y le roben sus credenciales. Si el sitio web falso les devuelve al sitio real, es posible que no sepan que algo anda mal.

Rauch dice que también se podría inyectar otro código.

Se pueden llevar a cabo otros exploits XSS, como secuestro de tokens de sesión, clickjacking y más. Un atacante puede crear Airtags armados y dejarlos por ahí, victimizando a personas inocentes que simplemente están tratando de ayudar a una persona a encontrar su Airtag perdido.

El siguiente video muestra el exploit en acción. Una persona experta en tecnología probablemente detectaría que la URL ha cambiado, pero un atacante real, por supuesto, compraría un dominio de apariencia plausible para que pareciera menos sospechoso.

Este tipo de ataque podría dirigirse fácilmente contra personas o empresas específicas lanzándolo en lugares como al lado de su automóvil en un estacionamiento del trabajo o fuera de su casa.

Apple dice que planea una solución, pero no se conoce una fecha, por lo que, por ahora, esta vulnerabilidad permanece. Si encuentra un AirTag, tenga en cuenta que no es necesario iniciar sesión para informarlo.

Vía Krebsonsecurity

FTC: Utilizamos enlaces de afiliados de automóviles que generan ingresos. Más.


Consulte 9to5Mac en YouTube para obtener más noticias de Apple:



Fuente de la Publicacion AQUI

Por admin

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *