先週の iOS 8.4.1 のリリースは、Apple Music の修正だけではなく、管理された環境で動作する iOS デバイスが知らないうちに他のサードパーティに設定や資格情報のデータを漏洩することを可能にしていた、アプリサンドボックスのこれまで未公開の穴にもパッチを当てました。アプリ。
通称「流砂」発見者セキュリティ企業 Appthority では、この脆弱性はマネージド アプリ構成システムの権限の問題に起因すると発表しました。 iOS 7 で導入されたこのシステムは、サーバー URL や企業ネットワーク情報など、カスタマイズされたアプリ構成データを配布および保存するための組み込みメカニズムを提供することにより、企業による iOS デバイスの管理を容易にします。
たとえば、ネットワーク管理者は、企業のホスト型サーバー URL とアクセス トークンを含むエンタープライズ メッセージング アプリの構成ファイルを事前にロードできます。インストールされると、アプリはそのファイルを読み取り、ユーザーの介入なしに自動的に設定を行うことができます。
このシステムは、これらのファイルへのアクセスを目的のアプリに制限するように設計されていましたが、Appthority は、実際にはデバイスにインストールされているどのアプリでもファイルを読み取ることができることを発見しました。
これは、攻撃者が、他の一般的なエンタープライズ アプリから設定ファイルを読み取るように設計された正規のアプリを作成し、App Store を通じて配布することによって、設定データ (機密アクセス資格情報やその他の企業秘密情報が含まれることが多い) を窃取できることを意味します。それから家に電話します。
Appthority は Apple と協力して iOS 8.4.1 の問題にパッチを当てましたが、セキュリティ会社によると、エンタープライズ iOS デバイスの 70% が、新しい iOS バージョンがリリースされてから何か月も更新されていないとのことです。 iOS を更新できない企業管理者に対して、Appthority は、マネージド アプリ構成システムに機密データを保存することを再考し、アプリのインストール後にデータをプロビジョニングするためにカスタム URL スキームなどの他の手段を使用することを推奨しています。
