На выходных была обнаружена новая уязвимость в iOS 11, на этот раз связанная со сканером QR-кодов в приложении камеры iPhone. С помощью новой функции сканирования в iOS 11 пользователи могут открыть приложение «Камера» на iPhone или iPad, навести устройство на QR-код и нажать на уведомление, чтобы получить доступ к содержимому кода.

В новом отчете от Infosec исследователи обнаружили, что QR-коды, связанные с веб-ссылками, могут обмануть пользователей, отображая в уведомлении «неподозрительную» ссылку на веб-сайт, но на самом деле перенаправляя на совершенно другой сайт. Infosec продемонстрировали это, создав QR-код, который генерирует уведомление «Открыть ‘facebook.com’ в Safari», но затем перенаправляет на их собственный сайт.

Infosec объяснили, что приложение «Камера» неправильно разбирает URL-адреса в QR-кодах и может быть обмануто простым редактированием URL-адресов с добавлением нескольких дополнительных символов:

Встроенный в QR-код URL-адрес: https://xxx@facebook.com:443@infosec.rm-it.de/

Но при нажатии для открытия сайта, вместо этого откроется https://infosec.rm-it.de/

Парсер URL приложения камеры имеет здесь проблему с определением имени хоста в этом URL-адресе так же, как Safari. Вероятно, он определяет «xxx» как имя пользователя, которое должно быть отправлено на «facebook.com:443». В то время как Safari может интерпретировать всю строку «xxx@facebook.com» как имя пользователя, а «443» как пароль, отправляемые на infosec.rm-it.de. Это приводит к отображению другого имени хоста в уведомлении по сравнению с тем, что фактически открывается в Safari.

iOS 11 столкнулась с рядом ошибок и проблем с момента запуска в сентябре прошлого года, включая ту, которая была исправлена в декабре и позволяла несанкционированный доступ к устройствам HomeKit.

Что касается проблемы с QR-кодами, Infosec сообщили, что они сообщили о проблеме команде безопасности Apple 23 декабря 2017 года, и по состоянию на 24 марта 2018 года она еще не была устранена.