Исследователь команды PT MAZE Positive Technologies Илья Андр обнаружил шесть уязвимостей в операционных системах Apple. При определенных условиях недостатки могли позволить вредоносному приложению выйти за пределы изолированной среды, получить доступ к фотографиям и другим медиафайлам пользователя, а также прочитать или удалить историю посещений браузеров.
Две уязвимости могли открыть приложениям доступ к фотографиям и другим файлам пользователя. Первая позволяла просмотреть сохраненные на устройстве миниатюры фотографий, документов и медиа из мессенджеров. На тестовом устройстве исследователю удалось получить доступ к превью более тысячи фотографий. Вторая могла дать приложению доступ к медиафайлам, включая скрытые фотографии.
Еще одна уязвимость была связана с компонентом Screen Time. Через нее приложение могло прочитать и удалить историю посещений в браузерах, в том числе Safari, Chrome и Firefox.
Остальные уязвимости затрагивали App Store, Xcode и компонент MobileGestalt. Две из них могли позволить приложению выйти за пределы изолированной среды — защитного механизма, который ограничивает доступ программы к системе и данным пользователя. Это создавало риск доступа к данным и функциям, которые обычно недоступны приложению. Еще одна уязвимость позволяла собирать характеристики устройства и формировать его цифровой отпечаток. Такие сведения могут использоваться для распознавания устройства и отслеживания активности его владельца.
Все обнаруженные уязвимости устранены. Пользователям устройств Apple рекомендуется установить актуальные обновления операционных систем и приложений.