Uusi iOS-jailbreak julkaistu | Traficom
Siirry pääsisältöön
Kyberturvallisuuskeskus
Ilmoita tietoturvaloukkauksesta
Ilmoita tietoturvaloukkauksesta
Ilmoita tietoturvaloukkauksesta

Uusi iOS-jailbreak julkaistu

27. syyskuuta 2019 klo 16.23

Vanhemmista Applen iOS-käyttöjärjestelmää käyttävistä laitteista on löytynyt haavoittuvuus, joka mahdollistaa järjestelmän rajoitusten ohittamisen (Jailbreak). Haavoittuvuutta voi hyödyntää iPhone 4S - iPhone 8 / X malleissa. Haavoittuvuuden löytäneen tutkijan arvion mukaan haavoittuvuutta ei voi korjata ohjelmistopäivityksellä.

Tietoturvautkija julkaisi Twitterissä hyödyntämismenetelmän, jolla on ohittaa vanhempien Applen iOS-käyttöjärjestelmien rajoitukset (Jailbreak). Haavoittuvuuden löytäneen tutkijan arvion mukaan haavoittuvuus liittyy laitteen järjestelmäpiirin toteutukseen, eikä haavoittuvuuta pysty korjaamaan ohjelmistopäivityksellä.

Haavoittuvuuden hyödyntäminen vaatii fyysisen pääsyn laitteeseen. Haavoittuvuutta ei pysty hyödyntämään etäyhteydellä. Haavoittuvuuden löytänyt tutkija kutsuu hyödyntämismenetelmää nimellä Checkm8. 

Jäilbreak on keino saada kolmannen osapuolen ohjelmia suoritukseen Applen iOS-käyttöjärjestelmää käyttävissä laitteissa. Käytännössä silloin voi suorittaa muitakin ohjelmia kuin Applen virallisesta sovelluskaupasta löytyviä. 

Haavoittuvuuden kohde

  • iPhone 4S - iPhone 8 / iPhone X (kaikki mallit joissa käytössä A5 - A11 järjestelmäpiiri)

Mistä on kysymys?

  • Haavoittuvuuteen ei ole olemassa korjausta

Mitä voin tehdä?

Matkaviestinjärjestelmät

Matkaviestinjärjestelmiin luokitellaan kannettavien päätelaitteiden, kuten puhelinten ja dataliikennekorttien lisäksi matkapuhelinverkon laitteet.

Paikallisesti

Paikallisesti tapahtuvan hyökkäyksen voi tehdä vain pääsemällä hyökkäyksen kohteena olevan laitteen luokse ja käyttämällä sitä paikallisesti. Paikallista hyökkäystä ei voi tehdä verkkoyhteyden kautta.

Suojauksen ohittaminen

Suojauksen ohittamisella tarkoitetaan sitä, että haavoittuvuutta hyväksikäyttämällä ohitetaan järjestelmän käytön rajoittamiseksi tehty suojaus esimerkiksi liikennöimällä palomuurin ohi suojattuun verkkoon.

Käyttövaltuuksien laajentaminen

Käyttövaltuuksien laajentaminen mahdollistaa järjestelmän käyttämisen esimerkiksi pääkäyttäjänä, tavallista käyttäjää laajemmin valtuuksin.

Tietojen muokkaaminen

Järjestelmään talletettujen tietojen muokkaaminen ei välttämättä edellytä komentojen suorittamista, käyttövaltuuksien laajentamista tai järjestelmään kirjautumista. Esimerkiksi käyttämällä hyväksi www-palvelinohjelmiston haavoittuvuutta voi hyökkääjä luvatta muuttaa palvelimella näkyvien verkkosivujen sisältöä.

Haavoittuvuuden havainnollistava esimerkkikoodi

Proof of concept.

Ei päivitystä

Haavoittuvuuden tultua julki ei korjausta siihen ole välttämättä heti saatavilla. Kohdejärjestelmät ovat alttiita haavoittuvuuden hyväksikäytölle jos niiden suojaamiseksi ei ryhdytä toimenpiteisiin.