iOS 12.0.1更新公告

圖片來源: 

臺灣蘋果

漏洞修補不完全的現象,可說是時有所聞,即使是蘋果的產品也會發生。最近在iOS更新12.0.1中,蘋果修補了一項有關VoiceOver的漏洞(CVE-2018-4380),然而,上個月月底通報這個弱點的西班牙業餘研究員Jose Rodriguez發現,蘋果並未完全修補這項問題,使得駭客還是能利用類似的手法,存取執行iOS 12.0.1的iPhone內容,而且,只要執行iOS 12以上版本的手機,都存在相同弱點。

VoiceOver是針對視覺障礙人士的輔助功能,讓使用者無法看見螢幕的情況下,能經由螢幕朗讀,接收相關資訊,像是未接來電列表、裝置目前尚有的電量百分比等,不過,這種對於身障人士所提供的存取模式,竟能讓駭客有機可乘。根據Rodriguez在YouTube放上的概念性驗證攻擊影片,駭客可利用VoiceOver的漏洞,將iPhone裡的照片以iMessage傳送出去。換言之,一旦iPhone手機遭竊,即使使用者設定了鎖定螢幕的密碼等防護機制,駭客還是能夠利用前述VoiceOver漏洞,存取手機裡的內容。

Rodriguez向媒體AppleInsider表示,駭客必須拿到這支欲侵入的手機,才會針對裝置其中的內容下手。在攻擊的步驟中,駭客首先要對目標iPhone手機撥打一通電話,啟動iOS的撥打電話畫面。但攻擊者想要得知這隻手機的電話號碼,也相當容易,例如可以詢問Siri「我是誰」,或是要求Siri打電話到指定電話號碼,而部分型號甚至只要在緊急電話的鎖定螢幕上,輸入*#5005*74663#,就能取得。

在攻擊的概念性驗證影片中,Rodriguez展示目標手機接到電話後,駭客會以自訂簡訊回覆,並透過Siri啟用VoiceOver功能,再來經過一連串的點擊螢幕等步驟,就能在手機沒有解鎖的情況下,在這則簡訊中加入手機裡的照片並寄出。

AppleInsider也依據Rodriguez的影片驗證,證實了該弱點遍及蘋果目前正在銷售的iPhone機種,包含了最新的iPhone Xs、Xs Max等。該媒體也建議使用者,在蘋果尚未提供修補軟體之前,應該要暫時關閉螢幕鎖定時執行Siri的功能。

在蘋果裝置上,針對身障人士輔助功能出現弱點的情況,之前在macOS上也出現過,而且,同樣在修補後被研究人員發現漏洞依舊存在。去年底的時候,前NSA駭客,同時也是Digita Security研究長Patrick Wardle在macOS High Sierra上發現,針對無法使用滑鼠的身障人士,該系統中所內建的合成點擊機制,其中的漏洞竟能讓駭客繞過macOS的相關安全機制,蘋果後來雖然加入須由使用者以滑鼠點選允許的機制(User-Approved Kext)後,Patrick還是發現該漏洞沒有完全修補,駭客仍能濫用,所幸該漏洞只影響High Sierra,並不影響最近推出的Mojave。


Advertisement

更多 iThome相關內容