آسیب پذیری محصولات امنیتی اپل / محققان امنیتی اعلام کردند از بیش از یک دهه قبل، محصولات اپل از آسیب پذیری رفع نشده‌ای رنج می‌برند.

به گزارش وبگاه خبری تخصصی امنیت آی تی به نقل از «cbronline»؛ بنابر تحقیقات جدید محققان امنیت در شرکت نرم افزاری اوکتا (Okta) اکثر محصولات امنیتی شخص ثالث تولید شده برای اپل، از مدت‌ها قبل تحت تأثیر یک کد مخرب قرار داشته، آسیب پذیر هستند.

آسیب پذیری مذکور به مهاجم اجازه می‌دهد با فریب دستگاه و معرفی خود به نام اپل، به مک بوک‌های این شرکت دسترسی پیدا کند. همچنین به نظر می‌رسد این باگ امنیتی از سال ۲۰۰۵ و عرضه سیستم عامل «OSX Leopard» وجود داشته و از آن بهره برداری شده است.

آسیب پذیری محصولات امنیتی اپل

اپل گزارشی در ماه فوریه از این آسیب پذیری اعلام کرد، اما به اوکتا توضیح داد که این موضوع به محصولات شخص ثالث مرتبط می‌شود. اپل بیان کرد اکنون در حال به روز رسانی مستنداتی است که به ارتقا دهندگان نرم افزار چگونگی ساخت ابزارهای فهرست سفید را برای مک توضیح می‌دهد.

ابزارهای لیست سفید شرکت‌های «Chronicle»، «Carbon Black»، «Facebook»، «F-Secure»، «Google»، «Objective Development» و «Objective-See» از جمله مواردی بودند که موفق به دریافت فایل‌های با گواهی نامه‌های اصلاح شده در آزمون امضای کد اوکتا نشدند.

شرکت مذکور اعلام کرد، تقریباً همه ی محصولات شخص ثالث متمرکز شده روی امنیت اپل، مستعد خطا هستند.

۲-امضای کد، یک فرایند استاندارد شده با استفاده از زیرساخت‌های کلیدی عمومی‌است که برای اطمینان از منشاء قابل اعتماد و عدم اصلاح کد از آن بهره گرفته می‌شود.

مقامات شرکت مذکور ادامه دادند: برخلاف برخی از نمونه‌های کشف شده ی قبلی، این آسیب پذیری برای دور زدن بررسی امضای کد به دسترسی مدیریت، کد (JIT’ing) یا فریب حافظه نیاز ندارد. تنها پارامتر مورد نیاز یک فایل «Fat/Universal» و مقدار معتبر بررسی‌های امضای کد است.

اوکتا به طور خلاصه اشاره کرد: این نقص امنیتی می‌توانست از زمان معرفی OSX Leopard در سال ۲۰۰۵ مورد سوء استفاده قرار گرفته باشد. چرا که این نقص از مزیت پشتیبانی چند پردازنده ی سیستم عامل مکینتاش در قالب یک فایل (Fat/Universal) ناقص استفاده می‌کند. ما از هر گونه استفاده ی قبلی از این شیوه توسط هکرها اطلاعی نداریم.

اوکتا افزود: به کمک سازمان سرت آمریکا (CERT/CC) همه خرده فروشی‌هایی که تحت تأثیر آسیب پذیری مذکور قرار داشتند، شناسایی و نسبت به آن مطلع شدند. به علاوه اوکتا نیز در تاری ۲۱ ژوئن به منظور اطمینان از این که مردم نرم افزار سخت افزارهای خود را بروزرسانی می‌کنند، یک اطلاعیه ی عمومی‌منتشر کرد. امیدواریم جامعه تحقیقاتی امنیتی بتواند به مشارکت خود ادامه دهد تا از عدم سو استفاده از باگ امضای کد مطمئن شویم.

نظر شما!!