ΑρχικήsecurityΗ Apple επιδιορθώνει σοβαρά σφάλματα στα Productivity Apps

Η Apple επιδιορθώνει σοβαρά σφάλματα στα Productivity Apps

Τα Updates δημοσιεύθηκαν την προήγουμενη εβδομάδα από την Apple και αφορούν τα Productivity Apps, στα οποία επιδιορθώθηκαν σφάλματα ασφαλείας που μπορούν να εκμεταλλευθούν από επιτιθέμενους.

Η Apple πρόσφατα δημοσίευσε τα Keynote 6.6, Pages 5.6, Numbers 3.6, και iWork για το iOS 2.6 για να επιδιορθώσει πολλαπλά σφάλματα ασφάλειας στα Productivity Apps, που σχετίζονται κυρίως με θέματα επικύρωσης που προκάλεσαν πολλά προβλήματα στους χρήστες τους.

Η Apple επιδιορθώνει σοβαρά σφάλματα στα Productivity Apps

Οι ευπάθειες έχουν αναφερθεί από τους ερευνητές Bruno Morisson από την εταιρεία INTEGRITY S.A (CVE-2015-3784) και Behrouz Sadeghipour και Patrik Fehrenbach (CVE-2015-7032).

Οι Sadeghipour και Fehrenbach ανκάλυψαν μια ευπάθεια που μπορεί να εκμεταλλευθεί από attackers χρησιμοποιώντας ένα ειδικώς επεξεργασμένο έγγραφο που περιλαμβάνει κακόβουλα XML data, – η Apple είναι ενήμερη για το ζήτημα αυτό από τον Ιούλιο.

Αυτή η συγκεκριμένη επίθεση είναι γνωστή ως XML External Entity (XXE) attack, κατά την οποία οι attackers το μόνο που πρέπει να κάνουν είναι να στείλουν ειδικά επεξεργασμένα Pages, Keynote, ή Numbers file στον χρήστη – στόχο.

Σύμφωνα με τον ειδικό ασφαλείας, ένας επιτιθέμενος μπορεί να εκμεταλλευθεί την ευπάθεια στέλνοντας ένα ειδικά επεξεργασμένο Apple Productivity Apps file για να παραβιάσει το σύστημα του χρήστη – στόχου. Όταν το θύμα ανοίξει το αρχείο, ενεργοποιεί την εκτέλεση του κακόβουλου κώδικα που περιλαμβάνεται στα XML data και φθάνει τελικά ένα εξωτερικό XML file που φιλοξενείται σε έναν host που ελέγχεται από τον επιτιθέμενο.

Τα Apple Productivity Apps επηρεάσθηκαν επίσης και από ένα ζήτημα memory corruption (CVE-2015-7033) το οποίο αναφέρθηκε από τον Felix Groebert της Google Security Team.

Ο Groebert επίσης ανέφερε ένα memory corruption flaw που επηρεάζει τον τρόπο με τον οποίο τα Apple Pages σαρώνουν τα κακόβουλα crafted documents (CVE-2015-7034), – η εκμετάλλευση αυτής της ευπάθειας μπορεί να οδηγήσει σε application crashing ή εκτέλεση κώδικα.

Εγγραφή στο Newsletter

* indicates required

FOLLOW US

LIVE NEWS