Баг в парсере QR-кодов в iOS может быть использован злоумышленниками

Баг в парсере QR-кодов в iOS может быть использован злоумышленниками

Баг в парсере QR-кодов в iOS может быть использован злоумышленниками

Уязвимость в стандартном приложении камеры iOS может быть использована злоумышленниками для перенаправления пользователей на вредоносные веб-сайты. Как сообщают специалисты, проблема связана со встроенным считывателем QR-кода.

Брешь присутствует в последних релизах iOS 11 для iPhone, iPad и iPod touch, именно в iOS 11 появилась возможность автоматического считывания QR-кодов при использовании стандартного приложения камеры.

Чтобы прочитать QR-код, пользователям необходимо просто открыть камеру и навести фокус на QR-код. Таким образом, если там содержится ссылка, система отобразит пользователю уведомление с адресом этой ссылки, с помощью которого можно перейти на сайт.

Однако по словам исследователя Романа Мюллера, URL-адрес можно изменить. Эксперт обнаружил, что парсер URL встроенного считывателя QR-кода в iOS неправильно определяет имя хоста в URL-адресе, что позволяет изменять отображаемый URL-адрес в уведомлении и заманивать пользователей на вредоносные сайты.

«У парсера есть проблема, связанная с обнаружением имени хоста в адресе. Скорее всего, он обрабатывает “xxx\” как имя пользователя, которого надо отправить на “facebook.com:443”. В то же время Safari берет полную строку “xxx\@facebook.com” в качестве имени пользователя, а “443” в качестве пароля, которые отправляются на “infosec.rm-it.de”. Это приводит к тому, что в уведомлении отображается другое имя хоста, не то, которое фактически открыто в Safari», — пишет эксперт в блоге.

Мюллер создал QR-код, содержащий следующий URL-адрес:

https://xxx\@facebook.com:443@infosec.rm-it.de/

Когда он отсканировал его с помощью камеры iOS, а устройстве появилось следующее уведомление:

Open “facebook.com” in Safari (Открыть “facebook.com” в Safari).

После нажатия на это уведомление вместо Facebook откроется https://infosec.rm-it.de/. Эксперт успешно протестировал проблему на своем iPhone X под управлением iOS 11.2.6.

Мюллер сообщил о своей находке Apple в декабре прошлого года, однако проблема до сих пор не исправлена.

ИИ-турагент приглашал посетить горячие источники Австралии, которых нет

По прибытии на остров Тасмания любители экзотики, внявшие совету ИИ-блогера на сайте австралийского туроператора, обнаруживали, что разрекламированных термальных источников в сельской тиши не существует.

Не менее удивлена была хозяйка единственного и обычно безлюдного отеля в Вельдборо (поселок городского типа на севере Тасмании), когда ей стали звонить по пять раз в сутки и повалили гости, жаждущие искупаться с комфортом в несезон.

На расспросы о горячих источниках она лишь разводила руками, обещая поставить пиво тому, кто их найдет. В качестве альтернативы предлагала посетить местную сауну, а потом нырнуть в замерзающую реку, но разочарованные туристы шутку не оценили.

Запись с описанием тура и приманкой, порожденной угодливым, но склонным к галлюцинациям ИИ, уже удалена из каталога Tasmania Tours, но успела нанести вред репутации скромного турагентства, которое пыталось удержаться на плаву за счет использования высоких технологий.

Как оказалось, его владелец отдал маркетинг на аутсорс, взяв за правило проверять публикуемые материалы, однако на момент выхода блог-записи о мифической достопримечательности Тасмании он был в отъезде.

Согласно результатам исследования, проведенного в австралийском университете Южного Креста (Southern Cross), турагентства уже достаточно широко используют ИИ-технологии, притом не только для создания блог-записей, рекламных материалов, путеводителей, но также для составления смет.

Примечательно, что у туристов ИИ-рекомендации стали вызывать больше доверия, чем отзывы на специализированных сайтах. В настоящее время на суждения и продукты ИИ полагаются почти 37% любителей путешествий.

Исследование также показало, что 90% создаваемых ИИ путеводителей содержат ошибки, которые способны подвергнуть опасности людей, стремящихся отдохнуть от благ цивилизации.

RSS: Новости на портале Anti-Malware.ru