A partire da aprile 8th, 2015, Apple ha rilasciato la sua più recente tornata di patch che ha fissato anche una vulnerabilità cookie che esisteva in tutte le versioni di Safari e potrebbe aver influito un totale di un miliardo di dispositivi.
La vulnerabilità Cookie
Jouko Pynnönen della azienda finlandese Klikki Oy è il ricercatore che per primo ha scoperto il flusso di biscotto e riferito ad Apple a gennaio 27. Secondo lui, il flusso è un risultato di come Safari ha gestito la sua precedente schema URL FTP.
Nel suo post sul blog Lui ha spiegato, “Un utente malintenzionato potrebbe creare contenuti web che, se visti da un utente di destinazione, bypassa alcuni dei normali restrizioni tra domini per accedere o modificare i cookie HTTP appartenenti a qualsiasi sito web.”
Ha anche aggiunto, “La maggior parte dei siti web che permettono di login degli utenti memorizzano le loro informazioni di autenticazione (di solito chiavi di sessione) nei cookie. L'accesso a questi cookie permetterebbe sessioni di dirottamento autenticato. I cookie possono anche contenere altre informazioni sensibili.”
In aggiunta, gli aggressori possono compromettere le normali pagine web semplicemente inserendo un iframe collegato ad un URL FTP.
Versioni interessate di iOS
Pynnönen non poteva testare il bug dei cookie su tutti costruisce, ma ha riferito che la vulnerabilità colpito la maggior parte delle versioni di Safari: Safari 7.0.4 su OS X 10.9.3; Safari su iPhone 3GS, iOS 6.1.6; Safari su iOS 8.1 simulatore, e Safari 5.1.7 Su Windows 8.1.
Come evitare attacchi di questo tipo
Secondo Pynnönen, “Un modo per fermare questi attacchi (e.g. per i dispositivi meno recenti senza patch disponibile) sarebbe quello di negare tutto il traffico alla rete Internet pubblica e configurare il dispositivo per utilizzare un proxy HTTP si trova nella rete interna. Questo dovrebbe impedire l'accesso a tutti gli URL FTP. “