Securitybedrijf vraagt Apple om noodpatch voor kwetsbaarheid in Mail-app
Securitybedrijf ZecOps heeft Apple om een noodpatch gevraagd voor kwetsbaarheden in de Mail-app voor iOS waardoor kwaadwillenden toegang tot e-mail en zelfs iPhones kunnen krijgen. De beveiligingslekken worden volgens het securitybedrijf al sinds januari 2018 aangevallen, maar Apple ontkent dit.
ZecOps heeft nu meer informatie over de kwetsbaarheden gegeven en looft een beloning van 10.000 dollar uit aan slachtoffers die bewijs hebben dat ze via de beveiligingslekken zijn aangevallen. Tevens zegt het bedrijf meer aanwijzingen te hebben dat er in het verleden misbruik van de lekken is gemaakt. Zo wijst het naar een forumbericht uit 2010 waar iemand melding maakt van een crash die door de één van de kwetsbaarheden wordt veroorzaakt, aldus ZecOps.
In een nieuwe blogposting laat het securitybedrijf naar eigen zeggen zien dat misbruik van de kwetsbaarheden mogelijk is en een aanvaller code op het toestel kan uitvoeren. Exacte details voor een volledige aanval ontbreken echter. Apple heeft nog altijd geen beveiligingsupdate uitgebracht, hoewel de kwetsbaarheden in een bètaversie van de nieuwste iOS-release zijn verholpen.
Wanneer iOS 13.4.5 uitkomt is nog altijd onbekend. ZecOps vraagt Apple dan ook om een noodpatch uit te brengen. Vanwege de kwetsbaarheden adviseerde de Duitse overheid om Apple Mail van iOS-toestellen te verwijderen.
Aluhoedjes in de aanbieding ?
Aluhoedjes in de aanbieding ?
zullen we het gewoon even afwachten en zien wat er gebeurt?
Integendeel. Je bent juist heel positief.
Overigens, veel bedrijven en gemeenten vervangen de IOS app door de Outlook app maar vergeten dat alle wachtwoorden en e-mails eerst via de Microsoft servers gaan i.p.v. direct via de eigen Exchange servers. Dat valt nergens uit te zetten dus de Outlook app i.p.v. de native IOS mail app lijkt alsof het middel kwader is dan de aandoening.
Je kan geïnformeerd zijn zonder een product te kopen. Wat een nieuws!
The lack of details in iOS logs and the lack of options to choose the granularity of the data for both individuals and organizations need to change to get iOS to be on-par with MacOS, Linux, and Windows capabilities. In general, the concept of hacking into a phone in order to analyze it, is completely flawed and should not be the normal way to do it.
We suggest Apple improve its error diagnostics process to help individuals, organizations, and SOCs to investigate their devices. We have a few helpful technical suggestions:
Crashes improvement: Enable to see memory next to each pointer / register
Crashes improvement: Show stack / heap memory / memory near registers
Add PIDs/PPIDs/UID/EUID to all applicable events
Ability to send these logs to a remote server without physically connecting the phone – we are aware of multiple cases where the logs were mysteriously deleted
Ability to perform complete digital forensics analysis of suspected iOS devices without a need to hack into the device first.
Questions for Apple
How many triggers have you seen to this heap overflow since iOS 3.1.3?
How were you able to determine within one day that all of the triggers to this bug were not malicious and did you actually go over each event ?
When are you planning to patch this vulnerability?
What are you going to do about enhancing forensics on mobile devices (see the list above)?
Lijkt mij dat dit voor alle iOS versies tussen 7 t/m 10 al lang afgehandeld had moeten zijn.
Je deed als NL en telecoms immers aan innovatief 3g en 4g, half innoveren is geen innovatie maar paar stappen vooruit proberen te maken en meer stappen achteruit op vlak van security.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
