Onderzoekers vinden lek in iOS-sandbox waardoor apps gegevens kunnen delen

Onderzoekers van de Duitse universiteit van Darmstadt hebben met een eigen tool meerdere lekken in de sandbox van iOS ontdekt. Een van de lekken maakt het mogelijk dat apps toegang hebben tot gegevens van andere apps.

Het onderzoek is uitgevoerd in samenwerking met de Amerikaanse universiteit van North Carolina en de polytechnische universiteit van Boekarest. De wetenschappers leggen in een persbericht uit dat ze de iOS-sandbox aan een onderzoek hebben onderworpen. Daarbij hebben ze meerdere lekken vastgesteld, die bijvoorbeeld het blokkeren van geheugen en apps mogelijk maken. Ook is het mogelijk om toegang te krijgen tot gegevens van andere apps en de beveiligingsinstellingen voor contactpersonen te omzeilen.

Bovendien is toegang tot de galerij en daarmee tot exif-gegevens van foto's mogelijk, waarin bijvoorbeeld locatiegegevens zijn opgeslagen. Ook de metadata van andere systeembestanden is op die manier toegankelijk. De gevonden kwetsbaarheden zouden bijvoorbeeld toegepast kunnen worden door een kwaadaardige app te ontwikkelen, zo stellen de onderzoekers. De sandbox van iOS is juist bedoeld om de rechten en de toegang tot systeemonderdelen voor apps te beperken om een aanval tegen te gaan. Zo hebben apps normaal gesproken geen toegang tot elkaars gegevens. Het persbericht treedt verder niet in detail over de gevonden lekken.

De wetenschappers hebben hun onderzoek uitgevoerd door de sandbox-profielen, die voor elke app worden aangemaakt, te exporteren en 'voor mensen leesbaar te maken'. In die profielen is vastgelegd welke toegangsrechten een bepaalde app heeft. Het onderzoeksteam heeft een geautomatiseerde tool ontwikkeld, waarmee kwetsbaarheden opgespoord kunnen worden. Hoogleraar Ahmad-Reza Sadeghi, die aan het onderzoek heeft deelgenomen, stelt: "Veel mensen denken dat het gesloten besturingssysteem van Apple veiliger is dan het open Android-systeem. Wij willen daarom de kwetsbaarheden van iOS onder de loep nemen."

Het team heeft de bevindingen van het onderzoek aan Apple gemeld en het bedrijf heeft toegezegd de kwetsbaarheden in komende releases van iOS aan te pakken. Ook uiten de wetenschappers kritiek aan Apple, omdat het bedrijf 'zich teveel afsluit van samenwerking met de academische gemeenschap en zich niet coöperatief genoeg opstelt'.

Het onderzoek met de naam 'SandScout: Automatic Detection of Flaws in iOS Sandbox Profiles' willen de wetenschappers in oktober presenteren op de ACM-conferentie voor computer- en communicatiebeveiliging in Wenen.

Schematische weergave van iOS-sandbox

Reacties (44)

[HeatWave]

"De gevonden kwetsbaarheden zouden bijvoorbeeld toegepast kunnen worden door een kwaadaardige app te ontwikkelen."

Die dan door Apple uit de store wordt geweigerd. Zo kan ik ook wel een lek vinden, stuur me even je iPhone met je wachtwoorden en dan kan ik hem zo hacken!

[Veronnix]

Er zijn genoeg alternatieve plekken om applicaties te downloaden, die niet of nauwelijks worden gecontroleerd. Neem bijvoorbeeld Cydia, is er iemand die controleert wat je daar binnen harkt als een willekeurige website je aanbeveelt een nieuwe repo toe te voegen voor een speciale tweak?

edit: ook zonder jailbreak zijn er alternatieve download locaties genoeg

[Reactie gewijzigd door Veronnix op 23 juli 2024 20:35]

[lever]

Zonder jailbreak moet je een app signen met je eigen developer account waar jouw iPhone aan gekoppeld is. Dit zijn allemaal zeer bewuste acties en een leek zal dit niet snel kunnen doen. Als ik mijn moeder een ipa file geef en haar vertel installeer dit maar eens op je iPhone dan zal het haar met 99,9%zekerheid niet lukken.

En zoiezo met jailbreak en cydia is het een bewuste actie dat je telefoon minder veilig is. Je weet namelijk dat er een lek in IOS gebruikt is om hem te jailbreaken.

[Reactie gewijzigd door lever op 23 juli 2024 20:35]

[supersnathan94]

Op het moment dat je dat gaat doen ben je al in het stadium waar je random zooi zomaar kunt installeren aangezien je of een developer certificate heb geïnstalleerd of simpelweg jailbroken (en dus root). De tools die je dan hebt zijn alles behalve veilig voor een random gebruiker die een beetje wil tweaken.

[RebelwaClue]

Ook de Appstore is niet 100% waterdicht, er zijn al meerdere gevallen geweest van kwaadwillende apps. Daarnaast is het in de store worden geweigerd of uit de store geweerd.

[bones]

x2, vraag me ook af of ze bij apple bij elke app de gehele broncode gaan doorspitten of dat ze meer een soort algemene test hebben.

[GrooV]

Je stuurt een build op (gecompileerde code) dus Apple kan niet in je broncode kijken. Wat ze wel hebben is een automatische tool die kijkt welke OS/Api calls gedaan worden en of daar geen ongeoorloofde aanroepen tussen zitten. Verder wordt je app aan de hand van een checklist getest

[TheRealProcyon]

Overigens waren er al gevallen waar kwaadaardige apps, al een paar maanden op de appstore stonden en niet er uit gegooid werden. Een tijdje later werd dat pas gedaan. Ze waren er langsgeglipt, dit heeft volgens mij ook op Tweakers gestaan. Deze apps waren ook tijdens (strenge) controles erlangs geglipt.

[xehbit]

Volgens mij werd de sourcede wel verzonden naar Apple toch?

[Verwijderd]

Nee ze kunnen niet je gehele sourcecode inzien

[BikkelZ]

Tegenwoordig stuur je wel je source code op, maar dat is nog optioneel. Apple compileert je applicaties ter plekke inclusief alleen die dingen die bij jouw device horen. Voorheen kreeg je normaal, @2x en @3x spul binnen samen met eventuele iPad images ook weer normaal en @2x. Dit wordt nu alleen nog maar toegespitst op je device.

Zie: "App Thinning"

[Rinzwind]

Dat is niet hetzelfde als de complete source opsturen naar Apple. Bij slicing gaat het om bitcode (wat dat ook precies moge zijn). Dat weigeren uiteraard veel bedrijven en personen gezien het bedrijfskritieke info is. Nu vraag ik me wel af in hoeverre die bitcode te decompilen is. Tot nu toe werd er native code naar Apple gestuurd.

[fretnn]

nee, enkel je binaries

[EvilItSelf]

Ze kunnen overigens ook zien hoe je interne API in elkaar steekt. Je kan in de binary gewoon zien hoe alle API elementen heten in je App. Ze kunnen alleen niet eenvoudig zien wat het exact doet.

[Glashelder]

Met .NET kan je heel eenvoudig een gecompileerd programma gewoon decompilen. Daar rolt nagenoeg dezelfde source code uit als erin ging kwam ik laatst achter

Hoe zit dat met applicaties op iOS?

[Verwijderd]

Dat kan op iOS dus bijna niet. Ik heb welleens geprobeerd om een JSON file van een iOS app te deconpilen voor mijn app en de resultaten waren schokkend zo slecht. Nee Apple heeft dat qua beveiliging wel beter voor elkaar dan bijvoorbeeld Android waar je candy crush kan decompilen er een ander kleurtje aan kan geven en kan lanceren als je eigen app

[gjmi]

Het verschil is dat Apple de lek nu al kent, dus kunnen ze daar actie op ondernemen.

[RebelwaClue]

Dat is ook zeker het voordeel bij Apple, bugs en lekken zijn sneller gedicht dankzij een beter update systeem.

[Alphyraz]

Het is niet zozeer dat het sneller gedicht wordt, maar de distributie ervan is beter geregeld.

[ATS]

Ze worden in elk geval daadwerkelijk aangeboden aan toestellen die het OS draaien... Dat is al heel wat. Bij eh, andere systemen moet je nog maar afwachten of de producent dat gaat doen of niet.

[nsacrawler]

ben het eens dat het android updatebeleid shit is maar lekken zoals deze worden ook erg snel gedicht dmv een "geforceerde" update van Google Play Services

[Verwijderd]

Ik neem aan dat Android extreem goed is: ik heb al meer dan een half jaar geen updates van LG meer gekregen voor mijn G3.....

[ATS]

Tja... Zo kan je het ook zien.

https://www.youtube.com/watch?v=WlBiLNN1NhQ

[Henk Poley]

Inmiddels kan je op iOS ook redelijk eenvoudig sideloaden hoor. Dus in principe kan het ook buiten het waakzame oog van Apple om gaan.

[Verwijderd]

Dat kan alleen met een developers account en xcode. Dus met anderenwoorden je bent bewust bezig

[Hemera]

Er zijn meerdere mogelijkheden om dit toe te passen. Je kan bijvoorbeeld je app goedgekeurd krijgen en dan via remote code execution het kwaadaardige deel aanroepen.

[-me]

Is niet mogelijk met Objective-C en Swift hoor

[Verwijderd]

Is er geen eval() functie in Objective-C of Swift? (Sowieso hoor je die niet te gebruiken…)

[-me]

Nope

[Woy]

Dat is wel erg naïef, natuurlijk zal de app verwijderd worden tegen de tijd dat ontdekt is dat er misbruik gemaakt wordt. Maar het testen van Apps gebeurt echt niet zo uitgebreid door apple dat ze alle apps die hier gebruik van maken direct zullen onderscheppen.

In de tussentijd kan een app dus fijn misbruik maken van dit lek, en is de schade al geleden.

[robbinwehl]

Vergeet niet dat er ook veel black markets zijn.. of gewoon installatie links online.

[Verwijderd]

Maar daar hoeft Apple geen verantwoordelijkheid voor te nemen. Om maar weer eens een analogie met de autowereld te maken: als ik bepaalde dingen aan mijn auto modificeer (onverantwoorde chiptuning, uitschakelen van beveiligingen etc) dan is de autofabrikant niet verantwoordelijk voor als ik daardoor uit de bocht vlieg en een boom ga knuffelen.

[jpfx]

Als je zo redeneert, hoeft Apple helemaal geen beveiliging toe te passen. Immers weigeren ze alle kwaadaardige apps uit de appstore.

[Verwijderd]

Hopelijk wordt het snel gedicht.
Ik melde in februari een lek aan Apple in de iCloud, en het duurde toch even voor dit gefixt werd.

[supersnathan94]

Heb je ook documentatie van naar buiten gebracht omtrent de inhoud van dat lek of mag je dit niet doen? Ik zou graag horen wat er lek was namelijk.

[Verwijderd]

Jep!
Ik ben een bug bounty hunter, en ik hou een blog bij met wat ik allemaal vind.
Het artikel vind je hier
Er was ook een artikel over verschenen op Datanews

[supersnathan94]

Dat rickroll though.

Beetje jammer. XSS in combinatie met falende input sanitizing. doet me een beetje denken aan little bobby-tables. Wel chill dat het gefixed is.

[MrGeek]

Zullen ze wel snel genoeg oplossen bij Apple.

Wel leuk om te zien dat er toch nog altijd iets nieuws blijft gevonden worden.

[Verwijderd]

Apple is altijd sceptisch geweest naar hulp van hackers van buiten af.
Ze beheren het ecosysteem van applicaties die op hun OS' mogen gedraaid worden, da's op zich een goeie preventie maar ik denk dat er nog wel één en ander te vinden valt in IOS en OS X zelf

Goed dat dit soort dingen gedaan worden!

[supersnathan94]

het tij is gelukkig wel gekeerd nu ook Apple eindelijk een bounty program aan het opzetten is.

[Verwijderd]

Ik vraag ze af of zij nu ook de 200 000 dollar zullen krijgen die Apple beloofd heeft.
http://thehackernews.com/2016/08/apple-bug-bounty-program.html

Hopelijk voor hen wel!

[Verwijderd]

We kunnen alleen maar hopen dat Apple eindelijk de hulp van ethische hackers gaat aanvaarden, en dit dus ook binnen hun bug bounty programma ziet.

[Keneo]

25 000 dollar bedoel je, uit het artikel dat je linkt:

Access from a sandboxed process to user data outside of that sandbox: Up to $25,000.