En Avril 8e, 2015, Apple a publié sa dernière série de patches qui a également fixé une vulnérabilité cookie qui existait dans toutes les versions de Safari et aurait pu influer sur un total d'un milliard d'appareils.
La vulnérabilité Cookie
Jouko Pynnönen de la firme finlandaise Oy Klikki est le chercheur qui a découvert le flux cookie et l'a signalé à Apple en Janvier 27. Selon lui, le flux est le résultat de la façon dont Safari géré son précédent système d'URL FTP.
Dans son blog il expliqua, « Un attaquant pourrait créer du contenu web qui, vus par un utilisateur cible, court-circuite certaines des restrictions normales inter-domaines pour accéder ou modifier les cookies HTTP appartenant à un site Web « .
Il a également ajouté, « La plupart des sites qui permettent des connexions utilisateur stocker leurs informations d'authentification (généralement des clés de session) dans les cookies. L'accès à ces cookies permettrait des sessions authentifiées détournement. Les cookies peuvent également contenir d'autres informations sensibles « .
En outre, les attaquants peuvent compromettre les pages web normales simplement en intégrant un iframe lié à une URL FTP.
Versions affectées d'iOS
Pynnönen ne pouvait pas tester le bug des cookies sur toutes les versions, mais il a indiqué que la vulnérabilité affecté la plupart des versions de Safari: Safari 7.0.4 sur OS X 10.9.3; Safari sur l'iPhone 3GS, iOS 6.1.6; Safari sur iOS 8.1 simulateur, et Safari 5.1.7 sous Windows 8.1.
Comment éviter les attaques de ce genre
Selon Pynnönen, « Une façon d'arrêter ces attaques (e.g. pour les anciens périphériques sans patch disponible) serait de refuser tout trafic à l'Internet et configurer l'appareil pour utiliser un proxy HTTP situé dans le réseau interne. Cela devrait empêcher l'accès à toutes les URL FTP. «