India teadlane Bhavuk Jain, kes töötab infoturbe valdkonnas, sai 100 000 dollari suuruse preemia funktsioonis Logi sisse Apple'iga ohtliku haavatavuse avastamise eest. Seda funktsiooni kasutavad Apple'i seadmete omanikud kolmandate osapoolte turvaliseks autoriseerimiseks. personaalset ID-d kasutades.
Me räägime haavatavusest, mille kasutamine võib võimaldada ründajatel võtta kontrolli ohvrite kontode üle rakendustes ja teenustes, mille autoriseerimiseks kasutati Apple'i kontoga sisselogimise tööriista. Tuletame meelde, et Apple'iga sisselogimine on privaatsust säilitav autentimismehhanism, mis võimaldab teil registreeruda kolmandate osapoolte rakenduste ja teenuste kasutajaks ilma oma e-posti aadressi avaldamata.
Apple'i abil sisselogimisprotsess loob JSON-i veebimärgi, mis sisaldab tundlikku teavet, mida kolmanda osapoole rakendus saab kasutada sisselogitud kasutaja identiteedi kontrollimiseks. Nimetatud haavatavuse ärakasutamine võimaldas ründajal võltsida mis tahes kasutaja ID-ga seotud JWT-märki. Selle tulemusel võib ründajal olla võimalik seda tööriista toetavates kolmandate osapoolte teenustes ja rakendustes ohvri nimel sisse logida funktsiooni Logi sisse Apple'iga.
Teadlane teatas haavatavusest Apple'ile eelmisel kuul ja nüüd on see parandatud. Lisaks viisid Apple'i spetsialistid läbi uurimise, mille käigus nad ei leidnud ühtegi juhtumit, kus ründajad seda haavatavust praktikas kasutasid.
Allikas: 3dnews.ru