首页-> 科技-> ZipperDown漏洞来了!微博、陌陌、快手等常用 iOS 应用恐要中招

ZipperDown漏洞来了!微博、陌陌、快手等常用 iOS 应用恐要中招

2018-05-16 12:55     科技    

  5 月 15 日,盘古实验室对外宣布,他们在针对不同客户的 iOS 应用安全审计过程中,发现了一类通用的安全漏洞---ZipperDown 漏洞。

ZipperDown 漏洞来了!微博、陌陌、快手等常用 iOS 应用恐要中招

  10% 的 iOS 应用可能受 ZipperDown 漏洞的影响

  据其介绍,创建漏洞指纹后,他们在 Janus 平台(appscan.io)上进行溯源分析和相似漏洞检索,结果发现约 10% 的 iOS 应用可能受 ZipperDown 漏洞的影响。通过对收集到的 168951 个 iOS 应用的查询,发现了 15979 个应用可能受此漏洞的影响,已经确认微博、陌陌、网易云音乐、QQ 音乐、快手等流行应用受影响。

  ZipperDown 漏洞演示视频链接:

  https://mp.weixin.qq.com/s/SMpBQ4mZQLVLfgK7f84OYA

  目前,为保证用户安全,漏洞细节暂不对外公开,除了 iOS,盘古实验室透露,在 Android 平台同样发现了类似漏洞,并且已经在大量流行应用中确认。

  ZipperDown 漏洞有什么危害?

  如果用户在不安全 WiFi 环境里下载并使用微博,会让攻击者利用该漏洞获取了微博应用中任意代码执行能力。

  ZipperDown 漏洞危害与受影响应用功能及权限相关。在某些应用中,攻击者仅能利用 ZipperDown 漏洞破坏应用数据;但在某些应用中,攻击者也可能获取任意代码执行能力(参考漏洞演示视频)。此外,iOS 系统的沙箱等也会限制 ZipperDown 漏洞的攻击范围。

  如何来检测 ZipperDown 漏洞?

  通过指纹匹配可以获取疑似受影响的应用列表。但该漏洞形态灵活、变种类型多样,指纹匹配的漏报率很高,所以建议通过人工分析的方式确认漏洞是否存在。

  ZipperDown 漏洞攻击场景与受影响应用业务场景相关。常见攻击场景包括:在不安全网络环境下使用受影响应用、在攻击者诱导下使用某些应用功能等。

  消息来源:盘古实验室