iOS’dagi QR kodni aniqlash tizimida xavfli zaiflik aniqlandi.

iOS’dagi QR kodni aniqlash tizimida xavfli zaiflik aniqlandi.

Muammo Apple dasturiy ta’minotining @ belgisini qanday ishlatishida.

Kiberxavfsizlik bo’yicha tadqiqotchi Roman Myuller iOS Camera ilovasida topilgan avtomatik QR kodni qayta ishlash tizimidagi zaiflikni aniqladi.

Tadqiqotchi aniqlaganidek, zaiflik foydalanuvchilarga ularning xabarisiz uchinchi tomon veb-saytlariga yo’naltirish imkonini beradi. Zaiflikdan muvaffaqiyatli foydalanish uchun QR kodini ma’lum bir URL manzilidan, masalan, [https]://xxx\@facebook.com:443@infosec.rm-it.de/ dan yaratish kerak. Agar siz iOS Camera ilovasini ochsangiz va qurilma kamerasini ushbu URL manzilidan yaratilgan QR kodiga yo’naltirsangiz, u uni taniydi, tahlil qiladi va Safari-da facebook.com saytiga kirishingizni so’raydi. Biroq, ilova aslida infosec.rm-it.de saytini ochadi.

«Sintaktik tahlilchi URL manzillarida xost nomlarini tanib olishda muammoga duch kelmoqda. Natijada bildirishnomada ko’rsatilgan xost nomi brauzerda aslida ochilganidan farq qiladi», deb ta’kidladi tadqiqotchi.

Muammo Apple dasturining @ belgisini qanday ishlatishida. Bildirishnoma tizimi satrdagi birinchi domenni taniydi, Safari esa ikkinchi domenni yuklaydi. Muammoni URL manzilidan @ belgisini olib tashlash va QR kodini qayta yaratish orqali hal qilish mumkin.

Myullerning aytishicha, u Apple xavfsizlik guruhiga zaiflik haqida 2017-yil 23-dekabrda xabar bergan, ammo muammo hali hal qilinmagan.