Security Week 25: уязвимость в Apple ID
На прошлой неделе исследователь Лакшман Мутхия (Laxman Muthiyah) опубликовал детали уже закрытой уязвимости в серверной инфраструктуре компании Apple. Ранее известный разбором похожих проблем в аккаунтах Instagram и Microsoft, Лакшман нашел нетривиальный способ обойти достаточно строгие ограничения на количество запросов к серверам Apple.
Эта лазейка, в свою очередь, позволяет взломать любую учетную запись Apple ID при условии, что злоумышленнику известны привязанные к ней телефон и почта. Чисто техническая уязвимость и осталась бы таковой, если бы специалисты Apple в процессе обсуждения с исследователем не упомянули о связи системы восстановления доступа к аккаунту с кодом-паролем для разблокировки устройства. Так возник неожиданный сюжетный поворот: Лакшман утверждает, что обнаруженная им дыра позволяла узнать еще и ключ доступа к iPhone или iPad. В своих выводах (не подтвержденных Apple) он настолько уверен, что отказался от выплаты по программе bug bounty.
Читать дальше →
Эта лазейка, в свою очередь, позволяет взломать любую учетную запись Apple ID при условии, что злоумышленнику известны привязанные к ней телефон и почта. Чисто техническая уязвимость и осталась бы таковой, если бы специалисты Apple в процессе обсуждения с исследователем не упомянули о связи системы восстановления доступа к аккаунту с кодом-паролем для разблокировки устройства. Так возник неожиданный сюжетный поворот: Лакшман утверждает, что обнаруженная им дыра позволяла узнать еще и ключ доступа к iPhone или iPad. В своих выводах (не подтвержденных Apple) он настолько уверен, что отказался от выплаты по программе bug bounty.
Читать дальше →
Источник: Хабрахабр
Похожие новости
- Независимый fashion-ритейл планирует нарастить присутствие в онлайн-каналах в ближайшие 3 года
- Креативная революция: как ИИ переписывает учебники для дизайнеров
- Мусорные клики: Яндекс может избавить нас от них, но нет
- Российское digital-агентство создало первый новостной канал, полностью сгенерированный ИИ
- ВМК МГУ имени М.В. Ломоносова: Исследователи ВМК МГУ предложили бенчмарк для оценки суперразрешения видео при сжатии
- О май гайд, это же ToV
- С 10 июля 2025 года Telegram Ads отменил обязательный минимальный расход для запуска премиальных рекламных форматов
- Spark_news: 21% россиян испытывают тоску по работе во время отпуска
- AlinaTen: Meta приобрела стартап, специализирующийся на клонировании голосов
- [Перевод] «Призраки в коммитах 2»: пылесосим историю Git в поиске утекших секретов