Noticia Device Inspector 1.5: 0day en la versión de la AppStore

La noticia que hoy traemos es la de un 0day en la app de Device Inspector 1.5. La versión que se encuentra en la AppStore es la 1.5, por lo que a día de hoy hay solución. La aplicación recoge características de los dispositivos iOS y los puede enviar por correo con 2 clics. Es cierto que Apple informó que no permitiría aplicaciones en la AppStore que capturasen información sensible del dispositivo como es el UDID. Por lo que podemos ver con la aplicación, esto no es cierto del todo, ya que la aplicación lo permite y se encuentra disponible desde la AppStore.

La aplicación va más allá de la información proporcionada en Settings. Recoge información como el modelo, la capacidad de almacenamiento, la versión del Bluetooth, la velocidad del procesador, la versión de iOS, etcétera. Permite enviar el UDID rápidamente desde el dispositivo a un correo electrónico, incluyendo un botón 'Send' dentro de la propia aplicación. En esta versión existen múltiples vulnerabilidades web a través de Command Injection locales, los cuales han sido descubiertos por el equipo de investigación de Vulnerability Lab. La vulnerabilidad permite a los atacantes inyectar comandos propios para el uso del sistema y comprometer la aplciación web del móvil.


La aplicación no codifica correctamente los valores del nombre del dispositivo lo cual se traduce en que el dispositivo queda comprometido. El parámetro de inyección es el nombre de la celda en la configuración del dispositivo iOS. Además, se han encontrado 2 vulnerabilidades más, las cuales comprometen la seguridad del dispositivo. El valor CVSS que se ha otorgado a esta vulnerabilidad es 5.7. La explotación de la vulnerabilidad requiere una cuenta de bajo privilegio en el dispositivo con acceso físico, por ello el valor del CVSS disminuye.

Publicado en Seguridad Apple - Google+ - RSS - Eleven Paths




Continúar leyendo...