Los expertos han advertido al popular iOS aplicación de productividad tenía fallas que permitían a los actores de amenazas robar datos confidenciales del dispositivo vulnerable.
La aplicación en cuestión se llama Manzana Atajos, y actúa como un pequeño e ingenioso widget que ahorra tiempo y permite que las aplicaciones interactúen entre sí en tareas específicas y, por lo tanto, generen acciones útiles, como usarlo para determinar la ubicación del usuario, calcular cuánto tiempo tomaría llegar a casa. y enviar esa información vía SMS a un contacto.
Ahora, Las noticias de los piratas informáticos informa que Shortcuts tenía una falla de alta gravedad que permitía a personas no identificadas acceder a información confidencial, almacenada en el dispositivo, sin el consentimiento del usuario. La falla se rastrea como CVE-2024-23204 y tiene una puntuación de gravedad de 7,5.
Eludir la seguridad del correo electrónico
«Un atajo puede utilizar datos confidenciales con ciertas acciones sin avisar al usuario», dijo Apple en el aviso publicado con su parche para la falla. La vulnerabilidad se solucionó con «verificaciones de permisos adicionales».
Si bien la explicación de Apple puede ser puramente teórica, una de Jubaer Alnazi Jabin, investigador de seguridad de Bitdefender Es mucho más práctico. Jabin, quien fue quien informó el error a Apple en primer lugar, dijo que se podría abusar de la falla para crear un atajo malicioso capaz de evitar las políticas de Transparencia, Consentimiento y Control (TCC), el marco de protección de datos de Apple.
Al explicar cómo funciona la falla, Jabin dijo que los accesos directos tienen una acción llamada «Expandir URL», que expande las URL acortadas y las elimina de las etiquetas UTM.
«Al aprovechar esta funcionalidad, fue posible transmitir los datos codificados en Base64 de una foto a un sitio web malicioso», dijo Jabin. «El método implica seleccionar datos confidenciales (fotos, contactos, archivos y datos del portapapeles) dentro de los accesos directos, importarlos, convertirlos usando la opción de codificación base64 y, finalmente, reenviarlos al servidor malicioso».
Luego, los datos se pueden guardar como una imagen a través de Flask. «Los atajos se pueden exportar y compartir entre los usuarios, una práctica común en la comunidad de atajos», dijo el investigador. «Este mecanismo de intercambio amplía el alcance potencial de la vulnerabilidad, ya que los usuarios, sin saberlo, importan accesos directos que podrían explotar CVE-2024-23204».