آسیب‌پذیری فاجعه‌بارSSL و امکان حمله به ۲۵۰۰۰ برنامه‌ی iOS

به تازگی یک آسیب‌پذیری بحرانی در AFNetworking کشف شده که به مهاجم احتمالی امکان می‌دهد از طریق حملات مرد میانی (MITM) به تدابیر حفاظتی HTTPS  حدود ۲۵۰۰۰ برنامه‌ی تحت iOS موجود در فروشگاه برنامه‌های اپل یا همان اپل‌ استور حمله نماید.
AFNetworking یکی از کتابخانه‌های مشهور متن‌باز کد است که به توسعه‌دهندگان اجازه می‌دهد قابلیت‌های شبکه را در محصولات iOS و OS X خود بگنجانند. اما ظاهراً این کتابخانه در بررسی نام دامنه‌ای که گواهینامه‌ی SSL برای آن صادر شده با مشکل مواجه شده است.
هر کدام از برنامه‌های iOS که از AFNetworking با نسخه‌های قدیمی‌تر از 2.5.3 استفاده می‌کنند ممکن است در مواجهه با این شکاف آسیب‌پذیر باشند، شکافی که به نفوذگران اجازه می‌دهد داده‌ها را به سرقت برده یا در آن‌ها دست‌کاری کنند، حتی اگر برنامه توسط پروتکل امن SSL محافظت شده باشد.
استفاده از هرگونه گواهینامه‌ی SSL برای رمزگشایی داده‌های حساس کاربران:
هر نفوذگری می‌تواند به واسطه‌ی یک گواهینامه‌ی معتبر SSL که متعلق به یکی از نام‌های دامنه‌ باشد از آسیب‌پذیری مورد بحث سوءاستفاده نماید، این نفوذ تا زمانی امکان‌پذیر است که گواهی‌نامه‌ی صادره از سوی یکی از مراجع معتبر صدور گواهی‌نامه از اعتبار ساقط نشده باشد، گفتنی است خرید این گواهی‌نامه تنها ۵۰ دلار برای نفوذگر آب می‌خورد.
به گزارش SourceDNA، شرکتی که ارائه‌دهنده‌ی سرویس‌های تجزیه و تحلیل کد است، نفوذگری که به اینترنت بی‌سیم یک کافی‌شاپ دسترسی دارد می‌تواند داده‌های خصوصی را شنود کند یا کنترل هرگونه جلسه‌ی کاری SSL میان برنامه و اینترنت را در دست بگیرد.
به‌ عنوان مثال فرد نفوذگر از دامنه‌ی «thehackernews.com» می‌تواند تنها با ارائه‌ی یک گواهی‌نامه‌ی معتبر SSL وانمود کند که از دامنه‌ی «facebook.com» است.
این آسیب‌پذیری، که تخمین زده می‌شود بیش از ۲۵۰۰۰ برنامه‌ی iOS را تحت شعاع قرار داده باشد، توسط van Leichtling from Yelp کشف و گزارش شده است.
AFNetworking این نقص را در جدیدترین نسخه‌ی منتشرشده‌ی خود یعنی 2.5.3 برطرف نموده، اما از وصله‌کردن آسیب‌پذیری مرتبط با SSL دیگری در نسخه‌ی 2.5.2 بازمانده است.
ناتوانی نسخه‌ی 2.5.2 در وصله‌ کردن آسیب‌پذیری:
تا پیش از این تصور می‌شد که با انتشار نسخه‌ی 2.5.2 از کتابخانه‌ی AFNetworking مشکل عدم اعتبار گواهی‌نامه‌ی SSL برطرف می‌شود، مشکلی که به نفوذگرانی که به گواهی‌نامه‌های خود-امضاء دسترسی داشتند اجازه می‌داد ترافیک رمزشده‌ی  برنامه‌های آسیب‌پذیر iOS را رهگیری کنند و داده‌های حساسی را که به کارگزار ارسال می‌شد مشاهده نمایند.
با این حال، حتی پس از وصله‌شدن آسیب‌پذیری، پویش‌ در مورد کد آسیب‌پذیر موجود در برنامه‌های iOS ادامه پیدا کرد و در نتیجه شماری از برنامه‌های iOS پیدا شدند که کماکان مقابل شکاف مورد نظر آسیب‌پذیر بودند.
بنابراین، هر فردی که در موقعیت مرد میانی قرار دارد، نظیر نفوذگری مستقر در یک شبکه‌ی ناامن وای‌-فای، کارمند سرکش داخل یک شبکه‌ی خصوصی مجازی، یا یک نفوذگر تحت حمایت دولت، با ارائه‌ی گواهی‌نامه‌ی معتبر خود می‌توانند ارتباطات حفاظت‌شده را نظارت کرده و یا دست‌کاری کنند.
آیا نرم‌افزارهای توسعه‌دهندگان مشهور هم آسیب‌پذیر به شمار می‌روند؟
بررسی‌ها حاکی از آن است که برنامه‌های متعلق به توسعه‌دهندگان صاحب‌نامی همچون بانک مرکزی آمریکا، ولز فارگو و جی‌پی‌مورگان چیس نیز به احتمال زیاد تحت تأثیر این آسیب‌پذیری قرار دارند.
SourceDNA همچنین خاطرنشان کرد که برنامه‌های iOS توسعه‌دهندگان مهمی نظیر یاهو و مایکروسافت نیز مقابل اشکال فلج‌کننده‌ی HTTPS آسیب‌پذیر باقی مانده‌اند.
پیشگیری مقابل این نقص:
SourceDNA در راستای جلوگیری از سوءاستفاده‌های بیشتر توسط نفوذگران، اسامی برنامه‌های آسیب‌پذیر را فاش نکرده است.
با این حال توصیه‌ی این شرکت به توسعه‌دهندگان این است که جدیدترین نسخه‌ی AFNetworking یعنی 2.5.3 را در محصولات خود بگنجانند تا به این ترتیب اعتبار نام دامنه را به‌طور پیش‌فرض فعال کرده باشند.
SourceDNA همچنین یک ابزار بررسی رایگان را معرفی نموده که به منظور کشف آسیب‌پذیری در برنامه‌ها به توسعه‌دهندگان و کاربران نهایی کمک می‌کند.
به کاربران iOS توصیه می‌شود که فوراً وضعیت برنامه‌های مورد استفاده‌ی خود را بررسی کنند، به ویژه آن قبیل برنامه‌هایی که از جزئیات حساب‌های بانکی یا هرگونه اطلاعات حساس دیگری استفاده می‌کنند.
در آخر به کاربران پیشنهاد می‌شود که پیش از آنکه توسعه‌دهندگان برنامه‌های آسیب‌پذیر نسخه‌ی جدید خود را منتشر کنند از استفاده از برنامه‌ها اجتناب نمایند. 

اخبار مرتبط:

0
هنوز هیچ ستاره‌ای موجود نیست.