Для разлочке, сервис JailbreakMe использует PDF-уязвимости

Специалисты по информационной безопасности и защите данных, обеспокоились появлением веб-сервиса по разлочке устройств Apple для работы с любыми приложениями. Их внимание привлекли уязвимости, позволяющие осуществить процедуру джейлбрейкинга при минимальном участии пользователя.

Напомним, что пару дней назад группа хакеров iPhone Dev Team открыла сервис JailbreakMe, позволяющую любому владельцу iPhone, iPod Touch и iPad снять заводскую защиту от установки несертифицированных приложений прямо из браузера. Для этого пользователю необходимо открыть в браузере Safari целевого устройства сайт этого сервиса и следовать нехитрым инструкциям.

Как выяснили специалисты F-Secure, джейлбрейкинг осуществляется при помощи специально сконструированных PDF-файлов, проще говоря, для разлочке, сервис JailbreakMe использует PDF-уязвимости. Создатели JailbreakMe предусмотрели по одному такому файлу на каждую комбинацию устройство/ОС. Если открыть соответствующий файл в мобильном Safari, управление автоматически передаётся хакерскому коду, который, в данном случае, делает вполне законное дело, но в теории может наворотить буквально что угодно.

Атака осуществляется при помощи встроенного в PDF-файл особым образом запорченного шрифта, который вызывает некорректное завершение работы модуля по обработке шрифтов. Стоит отметить, что на этот раз проблема никоим образом не затрагивает продукцию компании Adobe, как это часто бывает с другими PDF-уязвимостями. Напротив, здесь используется слабое место просмотрщика PDF-файлов, встроенного в Safari.

В F-Secure отмечают, что открытие вредоносных PDF-файлов не приводило к падению Adobe Reader под Windows, зато успешно роняло Foxit Reader (что делает потенциально возможным создание эксплойта для этой программы). Правда, компания Foxit уже весьма оперативно выпустила обновлённую версию своей программы, 4.1, лишённую данного недостатка.

Специалисты Symantec провели предварительный анализ работы кода JailbreakMe и вполне резонно считают, что, помимо собственно PDF-уязвимости, которая позволяет выполнить произвольный код на целевом устройстве, хакеры используют ещё одну уязвимость, чьей задачей является повышение прав. Без этого разрешение на повышение прав пришлось бы просить у пользователей.

Судя по записям в микроблоге Чарли Миллера (Charlie Miller), известный эксперт по поиску "дыр" в продуктах Apple также полагает, что речь идёт о двух уязвимостях. "Прекрасная работа, — говорит Миллер, имея в виду эксплойт, использующийся в JailbreakMe. — Просто страшно, как он полностью рушит эппловскую архитектуру безопасности".

В Symantec отмечают, что пока ничего не известно о том, чтобы подобные PDF-файлы были нацелены на декстопы с Mac OS X и Safari. Вполне возможно, что эти версии браузера и ОС лишены данных уязвимостей, но говорить об этом наверняка пока рано.

Нет информации и о существовании PDF-файлов, которые бы делали что-то действительно вредное. Принцип работы эксплойтов также не был опубликован. С другой стороны, их код всегда можно взять прямо с сайта JailbreakMe и попытаться использовать его в неправедных целях. Symantec отдаёт должное хакерам из iPhone Dev Team, которые постарались запутать этот код так, чтобы в нём было трудно разобраться, однако ясно, что рано или поздно эти уязвимости начнут вовсю использовать "тёмные силы".

На данный момент, пока Apple не заткнула эти "дыры", а для пользователей "ай-девайсов" существует единственный вариант защиты от потенциальной угрозы: не открывать PDF-файлы в Safari. Gizmodo также рекомендует вспомогательную "защиту" — мобильное приложение, которое показывает предупреждение перед открытием PDF‑файлов. Правда, это приложение нельзя найти в официальном App Store, а это значит, что хочешь не хочешь, а устройство сначала придётся разлочить с помощью JailbreakMe.