社区编辑申请
注册/登录
苹果iOS曝doorLock漏洞,能让手机“变砖”
安全 漏洞
在苹果Apple HomeKit 中发现了一个名为“doorLock”的新型持续拒绝服务漏洞,影响的系统版本从IOS14.7到IOS15.2。

 据BleepingComputer网站报道,在苹果Apple HomeKit 中发现了一个名为“doorLock”的新型持续拒绝服务漏洞,影响的系统版本从IOS14.7到IOS15.2。

Apple HomeKit 是苹果推出的智能家居平台,可让 iPhone 和 iPad 用户从他们的设备控制智能家电。根据公开披露的细节,苹果自 2021 年 8 月 10 日起就知道该漏洞,尽管承诺会将其修复,但至今依然悬而未决。

为了触发“doorLock”, 攻击者会将 HomeKit 设备的名称更改为大于50万个字符的字符串,即使目标用户没有在 HomeKit 上添加任何 Home 设备,仍然存在通过伪造和接受添加邀请的攻击途径。在尝试加载大字符串时,运行易受攻击的 iOS 版本的设备将进入拒绝服务 (DoS) 状态,强制重置是唯一的出路。但是,重置设备将导致所有存储的数据被删除,并且只有在有备份时才能恢复。

更为糟糕的是,一旦设备重新启动并且用户重新登录到与 HomeKit 设备关联的 iCloud 帐户,该漏洞就会重新触发。

在iOS15.0或iOS15.1系统版本中,引入了对应用程序或用户可以设置的名称长度的限制策略,但无法从根本上规避这种攻击,这需要iOS 修复或完善 HomeKit 设备名称的方式。眼下,如果攻击者要利用此漏洞,他们将更有可能使用Home邀请而不是应用程序,因为邀请不需要用户实际拥有 HomeKit 设备。

这种攻击同样可以被攻击者用来实施勒索,用户只有支付赎金,才能将HomeKit 设备设置回安全的字符串长度。

由于可以通过在控制中心禁用家庭设备来规避此漏洞,因此,前期的预防是目前最有效的措施,如果设备不幸“中招”,可尝试从以下3个步骤从iCloud 恢复数据:

  • 从恢复或 DFU 模式恢复受影响的设备
  • 像往常一样设置设备,但不要重新登录iCloud账户
  • 设置完成后,从设置登录iCloud,然后立即禁用标有“主页”的开关,此时设备和 iCloud应该可以再次运行而无需访问家庭数据。

据研究人员称,苹果公司对此漏洞的修复时间预计是2022年初,将通过系统的安全更新来完成。

参考来源:https://www.bleepingcomputer.com/news/security/apple-ios-vulnerable-to-homekit-doorlock-denial-of-service-bug/

责任编辑:赵宁宁 来源: FreeBuf
相关推荐

2022-06-20 13:34:46

漏洞网络攻击

2022-06-29 09:19:09

静态代码C语言c代码

2022-06-29 08:13:36

漏洞网络攻击网络安全

2022-06-06 23:02:04

iOS系统更新

2022-06-20 14:57:50

漏洞安全威胁

2022-06-09 18:04:46

网络攻击网络安全

2022-05-23 10:46:52

苹果iOS 15.5更新

2022-06-28 12:14:02

DockerLinux

2022-06-07 09:59:21

网络安全安全漏洞

2022-06-27 08:07:13

Go语言互斥锁

2022-06-17 11:24:52

2022-06-12 12:51:46

iOS 16苹果MacOs

2022-06-06 14:32:36

2022-06-15 14:40:54

英特尔漏洞

2022-06-06 11:21:22

网络安全工具禁令

2022-06-24 11:34:38

云计算应用安全

2022-06-23 09:49:16

火绒安全英特尔

2022-06-16 16:12:57

网络资产攻击面管理CAASM

2022-04-02 19:18:12

漏洞黑客

2022-06-09 10:12:01

网络安全人工智能威胁监测

同话题下的热门内容

Black Lotus警告异常复杂的ZuoRAT恶意软件已盯上大量路由器高危漏洞并不意味着要最先修复

编辑推荐

Log4j史诗级漏洞,从原理到实战,只用3个实例就搞明白!漏洞情报 | Spring RCE 0day高危漏洞预警Kubernetes的严重漏洞将所有服务器暴露在DoS攻击面前!Tomcat爆出安全漏洞!Spring Cloud/Boot框架多个版本受影响二维码新漏洞出现,遇到此类二维码小心中招
我收藏的内容
点赞
收藏

51CTO技术栈公众号