Apple verzwijgt het oplossen van een ernstig lek in iOS en weigert drie andere zero day kwetsbaarheden aan te pakken, zegt een ethische hacker die het bedrijf maanden geleden informeerde.
Wie kwetsbaarheden in iOS ontdekt, kan die melden bij Apple en daar een vergoeding (bug bounty) voor opstrijken. Maar het bedrijf komt zijn beloftes niet altijd na, beweert een ethische hacker onder de naam Illusionofchaos. Ook communiceert het niet over de problemen die wel zijn opgelost.
In een blogpost legt hij uit hoe hij tussen 10 maart en 4 mei in totaal vier zero day kwetsbaarheden ontdekte en meldde bij Apple. Ze komen voor in iOS 14.7, maar werken ook in iOS 15.
Wel opgelost, niet gecommuniceerd
Eén zero day kwetsbaarheid werd intussen opgelost, maar Apple maakte daar geen melding van in de documentatie rond securitypatches. Toen hij Apple hierop aansprak zei het bedrijf dat het om een vergissing ging, maar maanden later is dat nog steeds niet rechtgezet.
De drie andere bugs zitten nog steeds in iOS 15. Uit frustratie voor de selectieve doofheid bij Apple communiceert hij daarom zelf over de problemen. Het gaat vrijwel altijd over geïnstalleerde apps die veel meer info dan toegelaten kunnen verzamelen over de gebruiker of het toestel.
De opgeloste kwetsbaarheid, Analticsd, maakt het voor geïnstalleerde apps om toegang te krijgen tot gevoelige data zoals medische gegevens, geslacht en leeftijd.
Daarnaast is er Gamed, een kwetsbaarheid die via het Game Center werkt waarbij geïnstalleerde apps toegang krijgen tot de Core Duet database, waar ze toegang hebben tot contacten, sms’en en andere berichten, telefoonnummers, je Apple ID mailadres en volledige naam.
Minder ernstig, maar nog steeds aanwezig is Nemhelper Enumerate Installed Apps, een kwetsbaarheid waarbij een geïnstalleerde app kan nagaan of een andere app is geïnstalleerd. Tot slot is er ook Nehelper Wifi Info, een kwetsbaarheid waardoor apps met toegang tot locatiedata info kunnen krijgen over de wifi-verbinding van het toestel.
Apple: vertraging opgelopen
De bevindingen online delen blijkt intussen vruchten af te werpen. Illusionofchaos schrijft onderaan zijn blog dat Apple intussen wel heeft gereageerd en haar excuses aanbiedt voor het trage antwoord. Het bedrijf zou de problemen, en een mogelijke oplossing, nog steeds onderzoeken.
In tegenstelling tot Microsoft en Android, is Apple zeer selectief met het communiceren over veiligheidslekken. Maar recent liet het wel vaker steken vallen rond het correct oplossen van die problemen. Vorige week nog raakte bekend dat een zero day kwetsbaarheid in macOS wel werd aangepakt, maar niet helemaal werd opgelost.
Fout opgemerkt of meer nieuws? Meld het hier