Cacat kode QR iOS 11 di aplikasi kamera dapat menyebabkan pengguna…
Kerentanan baru di iOS 11 ditemukan selama akhir pekan, kali ini berfokus pada pemindai kode QR di aplikasi kamera iPhone. Dengan fitur pemindaian baru di iOS 11, pengguna dapat membuka aplikasi Kamera di iPhone atau iPad mereka, mengarahkan perangkat ke kode QR, dan mengetuk pemberitahuan untuk mengakses apa pun dalam kode itu.
Dalam laporan Infosec baru, para peneliti telah menemukan bahwa kode QR terkait tautan situs dapat menipu pengguna dengan menampilkan tautan situs “buruk” dalam pemberitahuan, sementara sebenarnya mengarahkan mereka ke situs yang sama sekali berbeda. Infosec telah menunjukkan ini dengan menghasilkan kode QR yang menghasilkan pesan ke “Buka ‘facebook.com’ di Safari”, tetapi kemudian mengarah ke situs webnya sendiri.
Infosec menjelaskan bahwa aplikasi Kamera tidak menguraikan URL dalam kode QR dengan benar dan tampaknya ditipu hanya dengan mengedit URL dengan beberapa karakter tambahan:
URL yang disematkan dalam kode QR adalah: https://[email protected]: [email protected]/
Tetapi jika Anda mengetuknya untuk membuka situs web, itu malah akan membuka https://infosec.rm-it.de/
Pengurai URL aplikasi kamera mengalami masalah dalam mendeteksi nama host di URL ini dengan cara yang sama seperti Safari. Itu dapat mendeteksi “xxx” sebagai nama pengguna yang dikirim ke “facebook.com:443”. Meskipun Safari dapat mengambil string lengkap “[email protected]” sebagai nama pengguna dan “443” sebagai kata sandi yang dikirim ke infosec.rm-it.de. Ini menghasilkan nama host yang berbeda yang ditampilkan dalam pesan daripada yang sebenarnya dibuka di Safari.
iOS 11 telah menghadapi sejumlah bug dan masalah sejak diluncurkan September lalu, termasuk yang diperbaiki pada bulan Desember yang memungkinkan akses tidak sah ke perangkat HomeKit.
Apple Aplikasi kamera iOS tidak mengurai URL dalam kode QR dengan benar. Ini menunjukkan host yang berbeda dalam pesan daripada yang sebenarnya terbuka. Saat ini tidak diperbaiki: https://t.co/EMQk7uBQ9i pic.twitter.com/KE6EwYhj7s
& mdash; @faker_ Roman (@faker_) 24 Maret 2018
Sumber: macrors
