01-06-2020, 11:27
Er zat een bug in Apples inlogservice voor applicaties van derden, waardoor het voor kwaadwillenden in theorie mogelijk was om een account over te nemen. "Inloggen met Apple" is een inlogservice waarmee gebruikers op apps van derden inloggen met hun Apple ID.
De programmeerfout is ontdekt door Bhavuk Jain, die deze op zijn blog uiteenzette. Het gaat om een zero day die hij in april ontdekte, en waarbij de bug inmiddels is gerepareerd door Apple. Vanwege de melding kreeg Jain een bedrag van 100.000 dollar uitgekeerd, als onderdeel van Apples 'bug bounty'-programma.
Volgens Jain zat de fout in de manier waarop een token wordt gegenereerd voor het authenticeren van een Apple ID. De beveiligingsonderzoeker ontdekte dat hij voor elk willekeurig e-mailadres een token kon laten aanmaken dat vervolgens door de publieke key van Apple werd gevalideerd. Op die manier zouden kwaadwillenden toegang kunnen krijgen tot het Apple-account dat bij het e-mailadres hoort.
Apple zou volgens Jain onderzoek hebben gedaan naar de impact van de bug, maar er zouden geen gevallen zijn ontdekt waarbij deze actief is misbruikt. Daardoor lijkt het erop dat er geen accounts zijn gestolen of overgenomen.
De programmeerfout is ontdekt door Bhavuk Jain, die deze op zijn blog uiteenzette. Het gaat om een zero day die hij in april ontdekte, en waarbij de bug inmiddels is gerepareerd door Apple. Vanwege de melding kreeg Jain een bedrag van 100.000 dollar uitgekeerd, als onderdeel van Apples 'bug bounty'-programma.
Volgens Jain zat de fout in de manier waarop een token wordt gegenereerd voor het authenticeren van een Apple ID. De beveiligingsonderzoeker ontdekte dat hij voor elk willekeurig e-mailadres een token kon laten aanmaken dat vervolgens door de publieke key van Apple werd gevalideerd. Op die manier zouden kwaadwillenden toegang kunnen krijgen tot het Apple-account dat bij het e-mailadres hoort.
Apple zou volgens Jain onderzoek hebben gedaan naar de impact van de bug, maar er zouden geen gevallen zijn ontdekt waarbij deze actief is misbruikt. Daardoor lijkt het erop dat er geen accounts zijn gestolen of overgenomen.