CVE-2024-23204 Chyba zabezpečení Apple Shortcuts

Bezpečnostní výzkumníci odhalili podrobnosti týkající se významné bezpečnostní chyby v aplikaci Apple Shortcuts, která představuje vysoké riziko. Tato chyba by mohla umožnit zkratce pro přístup k citlivým informacím na zařízení bez získání souhlasu uživatele. Zranitelnost označená jako CVE-2024-23204 má skóre CVSS 7,5 z 10. Apple tuto konkrétní zranitelnost vyřešil 22. ledna 2024 vydáním iOS 17.3, iPadOS 17.3, macOS Sonoma 14.3. a watchOS 10.3.

Podle CVE-2024-23204 by zástupce mohl využívat citlivá data pro konkrétní akce, aniž by vyžadoval autorizaci uživatele. Apple potvrdil, že problém byl vyřešen implementací „dodatečných kontrol oprávnění“ ve zmíněných aktualizacích softwaru.

Podrobnosti o aplikaci Apple Shortcuts

Apple Shortcuts slouží k různým účelům, které uživatelům umožňují bez námahy zjednodušit úkoly napříč zařízeními macOS a iOS. Tento nástroj usnadňuje automatizaci mnoha akcí, které zahrnují rychlé úkoly aplikací, ovládání zařízení, správu médií, zasílání zpráv a aktivity založené na poloze. Uživatelé mohou vytvářet pracovní postupy přizpůsobené pro správu souborů, sledování zdraví a kondice, automatizaci webu, vzdělávací účely a dokonce bezproblémovou integraci se zařízeními pro chytrou domácnost.

Výzkumníci společnosti Infosec, kteří nahlásili chybu Shortcuts, potvrdili, že by mohla být použita jako zbraň k vytvoření škodlivé zkratky, která by mohla obejít zásady transparentnosti, souhlasu a kontroly (TCC). TCC je bezpečnostní rámec Apple, který je navržen tak, aby chránil uživatelská data před neoprávněným přístupem, aniž by v první řadě vyžadoval příslušná oprávnění.

CVE-2024-23204 Umožňuje exfiltraci dat

Chyba zabezpečení označená jako CVE-2024-23204 pochází ze specifické akce zástupce nazvané „Rozbalit adresu URL“. Tato akce je navržena tak, aby rozšířila a vyčistila adresy URL zkrácené prostřednictvím služeb jako t.co nebo bit.ly, čímž se odstraní parametry sledování UTM. Využití této funkce umožňuje přenos dat kódovaných Base64 z fotografie na škodlivý web.

Tato technika zahrnuje výběr citlivých dat (jako jsou fotografie, kontakty, soubory a data schránky) v rámci zástupců, jejich import, převod pomocí možnosti kódování base64 a jejich předání na napadený server. Ukradená data jsou následně zachycena a uložena jako obrázek na straně útočníka prostřednictvím aplikace Flask, čímž se připraví půda pro potenciální následné zneužití.

Vzhledem k tomu, že zástupce lze exportovat a sdílet mezi uživateli, což je běžná praxe v komunitě zástupců, tento mechanismus sdílení rozšiřuje potenciální dosah zranitelnosti. Uživatelé mohou nevědomky importovat zástupce využívající CVE-2024-23204, čímž se zvyšuje riziko zneužití.

Opatření ke zmírnění dopadu zranitelností, jako je CVE-2024-23204

Pro zvýšení ochrany proti zjištěným zranitelnostem se uživatelům důrazně doporučuje provést následující opatření:

Aktualizace operačních systémů : Ujistěte se, že zařízení macOS, iPadOS a watchOS používají nejnovější verze softwaru. Pravidelná aktualizace operačního systému je zásadní, protože často obsahuje opravy a vylepšení zabezpečení, která řeší potenciální zranitelnosti.

Při používání zkratek buďte opatrní : Buďte opatrní při spouštění zkratek, zejména těch, které jsou získány z nedůvěryhodných zdrojů. Uživatelé by měli před spuštěním zkratek zkontrolovat původ a obsah, aby se minimalizovalo riziko nechtěného vystavení jejich zařízení bezpečnostním hrozbám.

Pravidelně kontrolujte aktualizace : Buďte ostražití a pravidelně kontrolujte aktualizace zabezpečení a opravy poskytované společností Apple. Udržování zařízení v aktuálním stavu s nejnovějšími bezpečnostními verzemi je zásadní pro udržení robustní obrany proti potenciálním zneužitím a zranitelnostem.

Dodržováním těchto doporučených postupů uživatelé pravděpodobně významně posílí bezpečnostní pozici svých zařízení a sníží pravděpodobnost, že se stanou obětí zjištěné zranitelnosti.