Apple ma swojego Stagefrighta: złośliwe obrazki groźne dla wszystkich urządzeń z Jabłuszkiem

Odkrywcą tych spektakularnychluk w systemach Apple’a jest Tyler Bohan z zespołu CiscoTalos. Przedstawił on pięć podatności na zdalne uruchomieniekodu. Dotyczą one przetwarzania plików graficznych TIFF orazOpenEXR przez interfejs Apple Image I/O, obsługi wymiany cyfrowychzasobów w pośredniczącym formacie Digital Asset Exchange,wykorzystywanym m.in. przez Apple Scene Kit, a nawet wyświetlaniaobrazków BMP z wykorzystaniem interfejsu Apple Core Graphics.

Wektorem ataku może być dowolny plik we wspomnianych formatach,przesłany np. przez komunikator iMessage, osadzony na złośliwejstronie internetowej czy załączony w wiadomości MMS. Systemyoperacyjne z Cupertino będą próbowały go przetworzyć, byzaprezentować użytkownikowi miniaturkę – i kończy się tobłędami przepełnienia bufora i uszkodzenia pamięci, pozwalającymina uruchomienie obcego kodu z uprawnieniami zalogowanego użytkownika.

Zagrożeni w ten sposób są wszyscy użytkownicy systemów OS X,iOS, tvOS i watchOS, których wersje systemu są wcześniejsze niżniedawno wydane poprawkowe wersje ElCapitan 10.11.6, iOS9.3.3, tvOS9.2.2 oraz watchOS2.2.2. Na szczęście bowiem Tyler Bohan z odpowiednimwyprzedzeniem zgłosił swoje odkrycie Apple, a nie np. sprzedał jena czarnym rynku. Warto bowiem podkreślić, że w przeciwieństwiedo Google, firma z Cupertino nie płaci odkrywcom luk za ich ciężkąpracę – co najwyżej mogą usłyszeć„dziękuję”.