Apple’ın en iyi iOS üretkenlik araçlarından biri oldukça endişe verici bir güvenlik açığına sahipti, bu yüzden hemen yama uygulayın

Uzmanlar, popüler iOS üretkenlik uygulamasının, tehdit aktörlerinin savunmasız cihazdan hassas verileri çalmasına izin verecek şekilde kusurlu olduğu konusunda uyardı.

Söz konusu uygulamanın adı Apple Shortcuts ve uygulamaların belirli görevlerde birbirleriyle etkileşime girmesine ve böylece kullanıcının konumunu belirlemek, eve gitmenin ne kadar zaman alacağını hesaplamak ve bu bilgileri SMS yoluyla bir kişiye göndermek gibi yararlı eylemler oluşturmasına olanak tanıyan şık, küçük bir zaman kazandıran widget görevi görüyor.

The Hacker News, Shortcuts’ın kimliği belirsiz kişilerin kullanıcı izni olmadan cihazda depolanan hassas bilgilere erişmesine izin veren yüksek önem derecesine sahip bir kusur taşıdığını bildiriyor. Söz konusu açık CVE-2024-23204 olarak takip edilmekte ve 7.5 önem derecesine sahiptir.

E-posta güvenliğini atlama

Apple, açık için yayınladığı yama ile birlikte yayınladığı danışmanlıkta “Bir kısayol, kullanıcıya sormadan belirli eylemlerle hassas verileri kullanabilir” dedi. Güvenlik açığı “ek izin kontrolleri” ile giderildi.

Apple’ın açıklaması tamamen teorik olsa da, Bitdefender güvenlik araştırmacısı Jubaer Alnazi Jabin’in açıklaması çok daha pratik. Hatayı Apple’a ilk bildiren kişi olan Jabin, açığın Apple’ın veri koruma çerçevesi olan Şeffaflık, Onay ve Kontrol (TCC) politikaları etrafında çalışabilen kötü amaçlı bir kısayol oluşturmak için kötüye kullanılabileceğini söyledi.

Açığın nasıl çalıştığını açıklayan Jabin, Kısayolların kısaltılmış URL’leri genişleten ve UTM etiketlerini temizleyen “URL’yi Genişlet” adlı bir eylemi olduğunu söyledi.

Jabin, “Bu işlevsellikten yararlanarak, bir fotoğrafın Base64 kodlu verilerini kötü amaçlı bir web sitesine iletmek mümkün hale geldi” dedi. “Yöntem, Kısayollar içindeki herhangi bir hassas verinin (Fotoğraflar, Kişiler, Dosyalar ve pano verileri) seçilmesini, içe aktarılmasını, base64 kodlama seçeneğini kullanarak dönüştürülmesini ve nihayetinde kötü amaçlı sunucuya iletilmesini içeriyor.”

Veriler daha sonra Flask aracılığıyla görüntü olarak kaydedilebilir. Araştırmacı, “Kısayollar dışa aktarılabilir ve kullanıcılar arasında paylaşılabilir, bu da Kısayollar topluluğunda yaygın bir uygulamadır” dedi. “Bu paylaşım mekanizması, kullanıcılar farkında olmadan CVE-2024-23204’ten yararlanabilecek kısayolları içe aktardıkları için güvenlik açığının potansiyel erişim alanını genişletiyor.”