کمیته رکن چهارم – یک آسیب‌پذیری جدید در برنامه‌ی دوربین iOS کشف شده است که می‌تواند برای هدایت کاربران به یک وب‌گاه مخرب بدون اطلاع آن‌ها مورد بهره‌برداری قرار گیرد.
به گزارش کمیته رکن چهارم،این آسیب‌پذیری آخرین سامانه‌عامل تلفن‌همراه iOS ۱۱ اپل برای دستگاه‌های لمسی آیفون و آی‌پد و آی‌پاد را تحت تاثیر قرار می‌دهد و در کدخوان داخلی QR به پایداری می‌رسد.
اپل با iOS ۱۱ یک ویژگی جدیدی را معرفی کرد که به کاربران این امکان را می‌دهد که به صورت خودکار کدهای QR را با استفاده از برنامه‌ی دوربین بومی آیفون و بدون نیاز به هیچ برنامه‌ی کدخوان QR شخص ثالثی بخوانند.
شما باید برنامه‌ی دوربین را در آیفون یا آی‌پد خود باز کنید و دستگاه را در مقابل یک کد QR قرار دهید. در صورتی که کد حاوی هر گونه آدرس اینترنتی باشد، به شما یک اعلان حاوی یک آدرس نمایش می‌دهد، و از شما می‌خواهد آن را لمس کنید و در مرورگر سافاری از آن صفحه بازدید کنید.
با این حال، مراقب باشید! مولر پژوهشگر امنیتی کشف کرد که ممکن است شما از آدرس اینترنتی نمایش داده شده بازدید نکنید.
به گفته‌ی مولر، تحلیل‌گر آدرس اینترنتی کدخوان داخلی QR برای برنامه‌ی دوربین iOS موفق به شناسایی نام میزبان در آدرس اینترنتی نمی‌شود، و همین مسأله به مهاجمان اجازه می‌دهد که آدرس اینترنتی نمایش داده شده در اعلان را دستکاری کنند و کاربران را فریب دهند تا به جای آن‌ها از وب‌گاه‌های مخرب بازدید کنند.
برای آزمایش، این پژوهشگر با آدرس اینترنتی زیر یک کد QR ایجاد کرد:
https://xxx\@facebook.com:۴۴۳@infosec.rm-it.de/
اگر این آدرس را با برنامه‌ی دوربین iOS پویش کنید، اعلان زیر را نشان خواهد داد:
آدرس facebook.com را در سافاری باز کنید.
وقتی روی آن ضربه می‌زنید تا وب‌گاه مربوطه را باز کنید، به جای آن آدرس https://infosec.rm-it.de/ را باز می‌کند.
کد (QR (Quick Response یک راه سریع و راحت برای به اشتراک گذاشتن اطلاعات است، اما هنگامی که کاربران برای تسریع پرداخت‌ها یا باز کردن وب‌گاه‌های بانکی به کدهای QR تکیه می‌کنند، مسأله خطرناک‌تر و جدی‌تر می‌شود، تا جایی که ممکن است گواهی‌نامه‌های ورود را در اختیار وب‌گاه‌های فیشینگ قرار دهند.
این پژوهشگر در ماه دسامبر سال گذشته این آسیب‌پذیری را به اپل گزارش داده بود، اما اپل تا کنون این اشکال را برطرف نکرده است.
منبع:thehackernews
