Apple verhelpt ernstige bluetooth-kwetsbaarheid in iOS en iPadOS
Apple heeft beveiligingsupdates voor iOS en iPadOS uitgebracht die meerdere ernstige kwetsbaarheden verhelpen, waaronder een beveiligingslek dat het mogelijk maakte om iPhones en iPads via bluetooth aan te vallen. De updates verschenen vorige week al, maar details over de verholpen kwetsbaarheden zijn nu pas door Apple openbaar gemaakt. Met iOS 13.5 en iPadOS 13.5 behoren in totaal 45 beveiligingslekken tot het verleden. Drie van de kwetsbaarheden maakten het mogelijk voor een aanvaller om op afstand code op iPhones en iPads uit te voeren.
Het gaat om beveiligingslekken in bluetooth, Python en WebKit. Precieze details worden echter nog niet door Apple gegeven. Het enige dat Apple laat weten is dat een "remote attacker" misbruik van de kwetsbaarheden kan maken om zijn eigen kwaadaardige code op iPhones en iPads uit te voeren. Het techbedrijf bedankt Dennis Heinze van de Technische Universiteit Darmstadt en Secure Mobile Networking Lab voor het melden van de bluetooth-kwetsbaarheid, die aangeduid wordt als CVE-2020-9838.
Naast de drie "remote code execution" kwetsbaarheden in bluetooth, Python en WebKit was het via negen andere beveiligingslekken ook mogelijk voor een aanvaller om zijn kwaadaardige code op iPhones en iPads uit te voeren, alleen dan niet op afstand. In deze gevallen hadden gebruikers bijvoorbeeld een kwaadaardige afbeelding, webcontent, pdf- of audiobestand moeten openen voordat de aanval kon worden uitgevoerd.
Verder heeft Apple ook twee beveiligingslekken in de Mail-applicatie verholpen die onlangs openbaar werden gemaakt en volgens securitybedrijf ZecOps al sinds begin 2018 actief worden aangevallen. Iets wat Apple ontkent. Daarnaast is ook een tweede bluetooth-lek gepatcht, aangeduid als CVE-2020-6616. Via deze kwetsbaarheid kan een aanvaller in een "geprivilegieerde" netwerkpositie bluetooth-verkeer onderscheppen.
Updaten naar iOS en iPadOS 13.5 kan via iTunes of de updatefunctie van het besturingssysteem. Naast versie 13.5 is ook iOS 12.4.7 verschenen. Deze update verhelpt in totaal drie kwetsbaarheden, namelijk twee in de Mail-applicatie en een kwetsbaarheid in de wifi-functionaliteit waardoor een aanvaller het systeem kan laten crashen.
Deze update vergroot dus permanent het risico op een succesvolle aanval i.p.v. het juist te verkleinen.
Gebruikers doen er dus aan de ene kant verstandig aan om de update NIET te installeren, maar kunnen zitten dan wel met de overige lekken in hun maag.
Te gek voor woorden dat Apple niet gewoon een losse app uitbrengt voor COV-19 tracking maar een dergelijk gedrocht verweeft in zijn OS. Steve Jobs zou helemaal door het lint gegaan zijn.
Eigenlijk ben je met deze update min of meer gedwongen deze module (met hulp van een van de online repair-guides) te verwijderen omdat je anders elk moment slachtoffer kan worden van allerlei bluetooth aanvallen. Met het nieuwe framework weet je immers nooit of bluetooth niet telkens opnieuw wordt ingeschakeld (al is het maar tijdens scanning - Apple wil later ook zonder apps contact tracing gaan toevoegen aan iOS).
Deze update vergroot dus permanent het risico op een succesvolle aanval i.p.v. het juist te verkleinen.
Gebruikers doen er dus aan de ene kant verstandig aan om de update NIET te installeren, maar kunnen zitten dan wel met de overige lekken in hun maag.
Te gek voor woorden dat Apple niet gewoon een losse app uitbrengt voor COV-19 tracking maar een dergelijk gedrocht verweeft in zijn OS. Steve Jobs zou helemaal door het lint gegaan zijn.
Onzin, BT hoeft helemaal niet altijd aan te staan.
Deze update vergroot dus permanent het risico op een succesvolle aanval i.p.v. het juist te verkleinen.
Gebruikers doen er dus aan de ene kant verstandig aan om de update NIET te installeren, maar kunnen zitten dan wel met de overige lekken in hun maag.
Te gek voor woorden dat Apple niet gewoon een losse app uitbrengt voor COV-19 tracking maar een dergelijk gedrocht verweeft in zijn OS. Steve Jobs zou helemaal door het lint gegaan zijn.
Onzin, BT hoeft helemaal niet altijd aan te staan.
Nee, maar er zit nu wel een framework in het OS dat de bluetooth radio aan/uit kan zetten en dit zelfs voor apps mogelijk maakt. Dus het is wachten totdat het mis gaat. Gebruiker denkt dat bluetooth uit staat terwijl dit door een bug of kwaadaardige app ineens weer aan staat. Gebruiker loopt vervolgens weken rond met bluetooth aan en is zo een 'zittende eend'.voor het enorme aantal bluetooth-exploits.
Nee, maar er zit nu wel een framework in het OS dat de bluetooth radio aan/uit kan zetten en dit zelfs voor apps mogelijk maakt. Dus het is wachten totdat het mis gaat. Gebruiker denkt dat bluetooth uit staat terwijl dit door een bug of kwaadaardige app ineens weer aan staat. Gebruiker loopt vervolgens weken rond met bluetooth aan en is zo een 'zittende eend'.voor het enorme aantal bluetooth-exploits.
En daar ga je dus fout... De Apple store bevat nauwelijks kwaadaardige apps - je bent in de war met de Google Play store. En de "enorme aantallen bluetooth exploits" is ook weer enkel van toepassing op Android devices, zeker als ze geen user-interaction vereisen.
Luntrus
Deze update vergroot dus permanent het risico op een succesvolle aanval i.p.v. het juist te verkleinen.
Gebruikers doen er dus aan de ene kant verstandig aan om de update NIET te installeren, maar kunnen zitten dan wel met de overige lekken in hun maag.
Te gek voor woorden dat Apple niet gewoon een losse app uitbrengt voor COV-19 tracking maar een dergelijk gedrocht verweeft in zijn OS. Steve Jobs zou helemaal door het lint gegaan zijn.
Onzin, BT hoeft helemaal niet altijd aan te staan.
Nee, maar er zit nu wel een framework in het OS dat de bluetooth radio aan/uit kan zetten en dit zelfs voor apps mogelijk maakt. Dus het is wachten totdat het mis gaat. Gebruiker denkt dat bluetooth uit staat terwijl dit door een bug of kwaadaardige app ineens weer aan staat. Gebruiker loopt vervolgens weken rond met bluetooth aan en is zo een 'zittende eend'.voor het enorme aantal bluetooth-exploits.
Nee er zit geen framework in wat BT aan/uit kan zetten. Er zit een API in waarvan per land slechts E E N app gebruik van kan en mag maken. De SpyApp van de verschillende overheden waarschijnlijk.
Dus wat je zegt klopt niet en van geen kanten.
Exposure Notification API to support COVID-19 contact tracing apps from public health authorities
Bij 12.4.7 staat dit niet.
https://support.apple.com/en-us/HT210393#135
https://support.apple.com/en-us/HT209084#1247
Ze zullen het later ook wel bij 12.4.7 introduceren. Vooral buiten Nederland moeten er nog een hoop gebruikers zijn met een iPhone 6 of lager.
Nee, maar er zit nu wel een framework in het OS dat de bluetooth radio aan/uit kan zetten en dit zelfs voor apps mogelijk maakt. Dus het is wachten totdat het mis gaat. Gebruiker denkt dat bluetooth uit staat terwijl dit door een bug of kwaadaardige app ineens weer aan staat. Gebruiker loopt vervolgens weken rond met bluetooth aan en is zo een 'zittende eend'.voor het enorme aantal bluetooth-exploits.
En daar ga je dus fout... De Apple store bevat nauwelijks kwaadaardige apps - je bent in de war met de Google Play store. En de "enorme aantallen bluetooth exploits" is ook weer enkel van toepassing op Android devices, zeker als ze geen user-interaction vereisen.
Luntrus
Maak jij hier niet de fout om te denken dat Apple veilig is? Zelfs als de code en auditing van Apple op orde zou zijn (terwijl hackers de beveiliging van Apple momenteel als een zooitje bestempelen) dan nog kunnen er in de Bluetooth hardware bugs zitten waar exploits voor zijn (recent Broadcom). Een app hoeft trouwens niet eens kwaadaardig te zijn om een bug te bevatten die bluetooth aan laat staan. Die bug kan wel direct uitgebuit worden met behoorlijk ernstige gevolgen.
Het enige verstandige wat je dan kan doen is Bluetooth helemaal uitzetten (zeker als je het toch niet nodig hebt) en zo min mogelijk 'schakelaars' hebt om deze weer aan te zetten. Het beste was natuurlijk een aantal dipswitches achter het slot van de simkaart, waarmee je hardwarematig de stroomvoorziening per module kan in-/uitschakelen. Dan zou ook deze API niet zo omstreden zijn.
Maar een losse app was natuurlijk ook al een optie geweest omdat dan alleen de gebruikers die deze functie daadwerkelijk gebruiken kwetsbaar zijn en de meerderheid die zulke onzinnige apps nooit gebruikt, niet.
Nee, maar er zit nu wel een framework in het OS dat de bluetooth radio aan/uit kan zetten en dit zelfs voor apps mogelijk maakt. Dus het is wachten totdat het mis gaat. Gebruiker denkt dat bluetooth uit staat terwijl dit door een bug of kwaadaardige app ineens weer aan staat. Gebruiker loopt vervolgens weken rond met bluetooth aan en is zo een 'zittende eend'.voor het enorme aantal bluetooth-exploits.
En daar ga je dus fout... De Apple store bevat nauwelijks kwaadaardige apps - je bent in de war met de Google Play store. En de "enorme aantallen bluetooth exploits" is ook weer enkel van toepassing op Android devices, zeker als ze geen user-interaction vereisen.
Luntrus
Daar ga je zelf de fout in. In de Apple store zitten mega veel kwaadaardige apps.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
