Cuando
vemos una factura echamos a temblar, algo parecido le ha pasado a Apple. En
este caso la factura no solo representaba un peligro para el bolsillo. Una
vulnerabilidad en el sistema de facturación de iTunes y App Store podía
permitir el secuestro de sesión, ataques de phishing persistente, redirección a
fuentes externas y la manipulación persistente de módulos de servicio afectados
o conectados.
El problema fue descubierto por el investigador de seguridad Benjamin Kunz Mejri de Vulnerability Lab que lo
comunicó de forma responsable a Apple, que ya lo ha solucionado. De tal forma
que el investigador a publicado los detalles y la prueba de concepto,
incluyendo un vídeo en el que muestra el problema.
El problema reside en una
vulnerabilidad de validación de entradas en las aplicaciones web oficiales de los
servicios online de la App Store como de iTunes Store de Apple. La vulnerabilidad
podría permitir a atacantes remotos inyectar su propio código script malicioso
en la aplicación.
Apple iTunes y App Store toman el
nombre del dispositivo del usuario que realiza la compra. Pero un atacante
remoto puede manipular el valor del nombre mediante un cambio con código
script. Después el atacante podrá comprar cualquier artículo de la App Store o
de iTunes.
Durante este procedimiento el
servicio toma el valor del dispositivo y lo codifica con condiciones incorrectas.
En el contexto de la cuenta del vendedor se ejecuta el código script inyectado implementado
erróneamente en la factura. De esta forma se obtiene la ejecución de código
script en la factura de Apple.
Los atacantes remotos pueden
manipular el bug mediante la interacción a través de contextos persistentes
manipulados a otras cuentas de usuario de Apple Store. La factura se presenta a
ambas partes (comprador y vendedor) lo que representa un riesgo significativo
para los compradores, vendedores o para los desarrolladores o administradores
de Apple.
No se ha confirmado exactamente
cuando Apple corrigió el problema, pero considerando que la actualización más reciente
de iTunes fue el pasado 30 de junio, podemos pensar que fue en ese momento
cuando se solucionó.
Más información:
Apple iTunes & AppStore - Persistent
Invoice Vulnerability
Antonio Ropero
Twitter: @aropero
No hay comentarios:
Publicar un comentario