リンクをクリックするだけで任意の電話番号にダイアル、iOSアプリに問題か
指摘した研究者によれば、ユーザーがアプリで受信したメッセージなどのリンクをクリックするだけで自動的に電話がかかり、画面には何も表示されないため電話を切ることもできない。
AppleのiOS向けアプリに使われているHTMLコンテンツ表示機能の「WebView」について、任意の電話番号へ自動的に電話をかけさせる攻撃に使われる可能性があることが分かったという。セキュリティ研究者が11月8日のブログで実証ビデオなどを公開した。
セキュリティ研究者コリン・ムリナー氏のブログによると、この問題は極めて簡単に悪用でき、画面表示を一時的にブロックして被害者が電話を切ることをできなくさせる方法もあるという。
原因については「OS/フレームワークのデフォルトの問題に起因するアプリケーションの不具合と思われる」と解説している。
ムリナー氏は最初、iOSのTwitterアプリで問題を発見して同社に通報。Twitterもこの現象を確認して修正したという。しかしムリナー氏がさらに詳しく調べたところ、これはWebViewsを使っているiOSアプリに共通する問題と見られることが分かった。
影響を受けるのは、ユーザーが受信したメッセージなどのリンクをアプリ内でWebViewを使って開く機能のあるアプリ。SafariやChromeでリンクを開くアプリは影響を受けないという。
ムリナー氏のブログでは、iOSのTwitterアプリとLinkedInアプリでリンクをクリックするだけで自動的に電話がかかってしまう様子を示した実証ビデオを公開した。電話がつながった後、iPhoneの画面には何も表示されなくなり、画面をタップしても電話を切ることができない。
同氏はWebViewsを使っているiOSアプリの開発者に対し、自分のアプリが影響を受けるかどうかを確認し、脆弱性のあるアプリは修正するよう呼び掛けている。Appleにも連絡を取ったといい、再発防止のためにはAppleがWebViewsのデフォルトの挙動を変更する必要があると指摘している。
関連記事
- Appleが「iOS 10.1.1」公開、不具合やセキュリティ問題を修正
米セキュリティ機関のUS-CERTによると、一部の脆弱性を悪用されればリモートの攻撃者にシステムを制御される可能性がある。 - Apple、Windows向けiCloudとXcodeの脆弱性を修正
脆弱性を悪用された場合、攻撃者に任意のコードを実行される恐れがある。 - 新型のiOSマルウェア出現、設計問題を突き通常端末にも感染
AceDeceiverはAppleのDRM技術「FairPlay」に存在する設計上の弱点を突き、「脱獄」させていないiPhoneなどの端末にもインストールされる。 - iOSのメールアプリに問題か、フィッシング悪用の恐れも
問題を悪用された場合、リモートのHTMLコンテンツを読み込んで、本来のメールメッセージのコンテンツに置き替えることができてしまう。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.