آسیب پذیری محصولات امنیتی اپل

به گزارش کارگروه امنیت سایبربان، به نقل از «cbronline»؛ بنابر تحقیقات جدید محققان امنیت در شرکت نرم افزاری اوکتا (Okta) اکثر محصولات امنیتی شخص ثالث تولید شده برای اپل، از مدت ها قبل تحت تأثیر یک کد مخرب قرار داشته، آسیب پذیر هستند.

آسیب پذیری مذکور به مهاجم اجازه می دهد با فریب دستگاه و معرفی خود به نام اپل، به مک بوک های این شرکت دسترسی پیدا کند. همچنین به نظر می رسد این باگ امنیتی از سال 2005 و عرضه سیستم عامل «OSX Leopard» وجود داشته و از آن بهره برداری شده است.

اپل گزارشی در ماه فوریه از این آسیب پذیری اعلام کرد، اما به اوکتا توضیح داد که این موضوع به محصولات شخص ثالث مرتبط می شود. اپل بیان کرد اکنون در حال به روز رسانی مستنداتی است که به ارتقا دهندگان نرم افزار چگونگی ساخت ابزارهای فهرست سفید را برای مک توضیح می دهد.

ابزارهای لیست سفید شرکت های «Chronicle»، «Carbon Black»، «Facebook»، «F-Secure»، «Google»، «Objective Development» و «Objective-See» از جمله مواردی بودند که موفق به دریافت فایل های با گواهی نامه های اصلاح شده در آزمون امضای کد اوکتا نشدند.

شرکت مذکور اعلام کرد، تقریباً همه ی محصولات شخص ثالث متمرکز شده روی امنیت اپل، مستعد خطا هستند.

2-امضای کد، یک فرایند استاندارد شده با استفاده از زیرساخت های کلیدی عمومی است که برای اطمینان از منشاء قابل اعتماد و عدم اصلاح کد از آن بهره گرفته می شود.

مقامات شرکت مذکور ادامه دادند:

برخلاف برخی از نمونه های کشف شده ی قبلی، این آسیب پذیری برای دور زدن بررسی امضای کد به دسترسی مدیریت، کد (JIT’ing) یا فریب حافظه نیاز ندارد. تنها پارامتر مورد نیاز یک فایل «Fat/Universal» و مقدار معتبر بررسی های امضای کد است.

اوکتا به طور خلاصه اشاره کرد:

این نقص امنیتی می توانست از زمان معرفی OSX Leopard در سال 2005 مورد سوء استفاده قرار گرفته باشد. چرا که این نقص از مزیت پشتیبانی چند پردازنده ی سیستم عامل مکینتاش در قالب یک فایل (Fat/Universal) ناقص استفاده می کند. ما از هر گونه استفاده ی قبلی از این شیوه توسط هکرها اطلاعی نداریم.

اوکتا افزد:

به کمک سازمان سرت آمریکا (CERT/CC) همه خرده فروشی هایی که تحت تأثیر آسیب پذیری مذکور قرار داشتند، شناسایی و نسبت به آن مطلع شدند. به علاوه اوکتا نیز در تاری 21 ژوئن به منظور اطمینان از این که مردم نرم افزار سخت افزارهای خود را بروزرسانی می کنند، یک اطلاعیه ی عمومی منتشر کرد. امیدواریم جامعه تحقیقاتی امنیتی بتواند به مشارکت خود ادامه دهد تا از عدم سو استفاده از باگ امضای کد مطمئن شویم.