iPhone: az Apple foltozott, a hekker publikált

Másfél héttel ezelőtt egy Comex néven tevékenykedő hekker arról számolt be, hogy az Apple iPhones, iPod touch és iPad készülékek esetében két veszélyes, és egyben könnyen kihasználható biztonsági résre lett figyelmes. Ezek kihasználásával egyrészt lehetőség nyílhat a készülékek "jailbreak"-elésére, vagyis elérhető, hogy azokra bármilyen forrásból származó alkalmazásokat fel lehessen telepíteni. Másrészt a sérülékenységek kihasználásával kártékony kódok terjesztésére is mód adódhat.

Az Apple mindkét sebezhetőség létezését megerősítette, és elérhetővé tette azokat a hibajavításokat, melyek segítségével a biztonsági rések befoltozhatóvá válhatnak. A cég szerint az egyik hiba a Safari webböngészőn keresztül, speciálisan összeállított weboldalak révén használható ki, és a PDF-állományokban elhelyezett, egyes betűtípusok esetenkénti hibás feldolgozására vezethető vissza. A sérülékenységet az a FreeType összetevő tartalmazza, amely az iOS mellett a Mac OS X operációs rendszerek részét is képezi. Ez a puffertúlcsordulási hiba önmagában azonban még nem lett volna elegendő ahhoz, hogy Comex egy igazán veszélyes hekkelési módszerrel rukkoljon elő. Az Apple szerint a második - IOSurface-t érintő - sebezhetőség viszont már arra is lehetőséget biztosít, hogy a sandbox védelmi technika kijátszásával a készülékek felett teljes mértékben át lehessen venni az irányítást.

Az Apple felhívta a figyelmet arra, hogy a két sérülékenység kijavításához szükséges frissítések az iPhone 3G, a második generációs iPod touch, illetve az ezeknél újabb készülékekhez tölthetők le. Az első generációs mobilokhoz még nem készültek el a javítások. Az iPad pedig egy külön frissítést kapott, mivel azon még az iOS 4 nem fut. A sebezhetőségeket az iOS 4.0.2 és az iOS 3.2.2 (iPad) már nem tartalmazza.

Terjednek az exploitok

Néhány perccel azután, hogy az Apple kiadta a patch-eket, Comex máris világgá kürtölte azokat a kódokat, amelyek révén a biztonsági hibák kihasználhatók. Mindez jelentősen megnöveli a sebezhetőségek kockázatát, és igencsak fontossá teszi az érintett készülékek minél előbbi frissítését. Különösen azért, mert a biztonsági rések speciálisan szerkesztett weboldalak révén kártékony programok terjesztését is elősegíthetik. "Hatásos és veszélyes" - írta a Twitteren Mikko Hypponen, az F-Secure kutatási igazgatója. A problémát fokozza, hogy a régebbi készülékek tulajdonosai egyelőre nem tudják frissíteni a mobil eszközeiket, ezért ők leginkább csak megfontolt és körültekintő netezéssel csökkenthetik a kockázatokat.

„Azt javasoljuk az iOS felhasználóknak, hogy minél hamarabb telepítsék fel a frissítéseket." - mondta Hypponen. A hibajavítások az iTunes segítségével juttathatók fel a készülékekre.