شرکت اپل روز دوشنبه سامانه عامل iOS ۱۰ خود را به‌روزرسانی کرد تا تعداد انگشت‌شماری آسیب‌پذیری را برطرف کند. دو مورد از این آسیب‌پذیری‌ها منجر به اجرای کد دلخواه می‌شد. 

در نسخه‌ی ۱۰.۲ به‌طور کلی ۱۲ آسیب‌پذیری وصله شده است. مهم‌ترین آسیب‌پذیری، اجرای کد دلخواه بود که مهاجم می‌توانست با ارسال یک گواهی‌نامه‌ی ناقص و جعلی از طریق سرویس رایانامه‌ی اپل و یا مرورگر سافاری، از آن بهره‌برداری کند. این آسیب‌پذیری به مهاجم اجازه می‌داد باعث خرابی در حافظه شده و در ادامه کد دلخواه خود را اجرا کند. 

محقق امنیتی که این آسیب‌پذیری را کشف کرده گفته جزئیات آن را ۱۶ آبان‌ ماه به اپل گزارش داده است و برطرف کردن آن کمی زمان‌بر بوده است. اپل این اشکال را با بهبود اعتبارسنجیِ ورودی برطرف کرده است. این آسیب‌پذیری iOS ،tvOS و watchOS را تحت تأثیر قرار می‌داد.

آسیب‌پذیری دوم مربوط به اشکال اعتبارسنجی در دستگاه‌های تصویر USB است که منجر به اجرای کد دلخواه توسط مهاجم می‌شود. اندی دیویس، از گروه NCC این آسیب‌پذیری را کشف کرد که این اشکال نیز با بهبود اعتبارسنجی ورودی برطرف شده است. دیویس فردی است که اوایل امسال یک اشکال در راه‌انداز USB ویندوز کشف کرده، در کنفرانس Black Hat یک حمله‌ی USB را ارائه کرده و یک آسیب‌پذیری اجرای کد دلخواه در هسته‌ی iOS ۷ را شناسایی کرده است.

تا زمانی‌که این آسیب‌پذیری‌ها وصله شود، آسیب‌پذیری‌های دیگری وجود داشته که از طریق آن‌ها مهاجم می‌توانست به دستگاه قربانی دسترسی یافته و تنظیمات را به دلخواه خود تغییر دهد.

میگل آلوارادو که صاحب یک کانال یوتیوب با نام iDeviceHelp است و در آن خبرهای جدید جیلبریک آیفون را قرار می‌دهد، سه هفته پیش یک اشکال دور زدن را افشاء کرد. این آسیب‌پذیری که عمومی‌ترین اشکال در نسخه‌ی ۱۰.۲ است با استفاده از Siri و ویژگی دستیار اپل با نام VoiceOver قابل بهره‌برداری است و می‌تواند صفحه‌ی قفل اپل را دور بزند. در مشاوره‌نامه‌ی روز دوشنبه اعلام شد که این آسیب‌پذیری با محدود کردن گزینه‌ها در دستگاه قفل‌شده برطرف شده است.

دو آسیب‌پذیری دیگر نیز در برنامه‌ی مدیریت صفحه‌ی خانگی اپل با نام SpringBoard وجود داشت که وصله شد. یک مهاجم با داشتن دسترسی فیزیکی به دستگاه قربانی می‌تواند با بهره‌برداری از «اشکال شمارنده» از طریق تلاش‌های پی‌درپی برای بازنشانی گذرواژه، به تلفن همراه دسترسی پیدا کند. یک مهاجم می‌تواند از این آسیب‌پذیری برای باز کردن قفل دستگاه استفاده کرده و در ادامه با بهره‌برداری از SpringBoard دستگاه را در حالت بدون قفل نگه دارد.

یک آسیب‌پذیری مدیریت وضعیت دیگر نیز وجود داشت که به مهاجم اجازه می‌داد در یک دستگاه بدون قفل، تنظیمات «Find My iPhone» را غیرفعال کند. اپل می‌گوید این اشکال را با بهبود نحوه‌ی ذخیره‌سازی اطلاعات برطرف کرده است. اپل روز دوشنبه برای watchOS و tvOS نیز به‌روزرسانی منتشر کرده که در این به‌روزرسانی‌ها نیز وصله‌ها به‌ویژه وصله‌ی آسیب‌پذیری خرابی حافظه وجود دارد.

گردآوری و انتشار : آنتی ویروس دکتر وب