苹果通过 iOS 18.2 更新修复了密码应用程序中的加密漏洞

很近也很远 网络研究观 2024-12-12 15:59

在安全研究人员 Talal Haj Bakry 和 Mysk Inc. 的 Tommy Mysk 报告之后，Apple 在发布 iOS 18.2 时解决了其密码应用程序中的一个重要安全漏洞。

该漏洞被追踪为 CVE-2024-54492，涉及应用程序使用未加密的 HTTP 连接下载网站图标，使用户面临中间人 (MITM) 攻击等风险。

自 iOS 18 发布以来，密码应用一直依赖不安全的 HTTP 来获取已保存密码条目的图标。

这种疏忽意味着任何拥有特权网络地位的人（例如公共 Wi-Fi 上的攻击者或受感染的路由器）都可以拦截或操纵流量。

这种干扰可能允许不良行为者伪造图标、将用户重定向到恶意网站或利用缺乏加密来收集敏感元数据。

Mysk 于 2024 年 9 月向 Apple 报告了此问题，并在 2024 年 12 月 11 日发布的 iOS 18.2 中实施了修复。

安全公司Tenable将该漏洞归类为高严重性，并强调了更新以避免被利用的重要性。

Since iOS 18 launched, the new Passwords app has been using unencrypted HTTP to download icons for password entries—a potential #security risk. We reported this bug to #Apple in September, and it’s finally fixed in #iOS 18.2 (CVE-2024-54492). Why does this matter? Watch 🎬 : pic.twitter.com/BkajmbkkER

— Mysk 🇨🇦🇩🇪 (@mysk_co) December 11, 2024

该漏洞对用户的隐私和安全构成了重大风险。

应用程序中存储的密码旨在提供安全的存储库，但不安全的 HTTP 连接破坏了这一前提。

虽然没有报告已知的主动攻击，但该漏洞可能会泄露敏感信息，因此必须立即修复。

iOS 18.2：关键修复

Apple 的iOS 18.2 更新还解决了不同组件中其他几个值得注意的漏洞：

– AppleMobileFileIntegrity（CVE-2024-54526、CVE-2024-54527）：这些漏洞可能允许恶意应用程序访问私人或敏感用户数据，从而可能绕过沙盒限制。

– 内核（CVE-2024-54494）：修复了可能使攻击者能够写入只读内存的竞争条件。

– WebKit（CVE-2024-54505）：解决了处理恶意制作的 Web 内容时可能导致内存损坏的类型混淆问题。

– Safari (CVE-2024-44246)：解决了一个隐私问题，将网站添加到 Safari 的阅读列表可能会无意中向网站泄露原始 IP 地址，即使启用了私人中继也是如此。

苹果敦促所有用户立即将其设备更新至 iOS 18.2 和 iPadOS 18.2。此更新适用于 iPhone XS 及更高版本的所有设备以及兼容的 iPad。