苹果半年前就已知道艳照漏洞!但懒得修复

jopen 9年前

        苹果 iCloud 安全漏洞引发的艳照事件震惊全球,但更震惊的是,苹果与某安全研究人员的来往邮件显示,苹果最早在 2014 年 3 月份就已经知道了问题所在,但没能及时修复。

        Ibrahim Balic 是伦敦的一位软件开发人员。3 月 26 日,他通知苹果,自己成功绕过了 iCloud 安全机制,发动了 Brute-Force 攻击(穷举暴力破解密码)。

        这种方式其实是很容易防御的,只要限制尝试次数即可,但是 Balic 称自己能在任意 iCloud 账户上尝试 2 万多个密码组合,但账户不会被锁定。

        在 Google 那里,他也发现了类似的问题,后者迅速做出了回应(具体内容没说)。

        他希望苹果能尽快修复,而苹果一个多小时后就回信了,但只是表示了感谢。

苹果半年前就已知道艳照漏洞!但懒得修复

        随后,Balic 再次告知苹果,其在线 Bug 反馈平台存在同样的漏洞。

苹果半年前就已知道艳照漏洞!但懒得修复

        5 月 6 日,苹果给 Balic 发信了,但不是说漏洞已经修复,而是认为如此破解一个账号耗时太长,根本不会有人这么做。言下之意,苹果认为这不算漏洞,没必要修复。

苹果半年前就已知道艳照漏洞!但懒得修复

        Balic 也表示:“我认为问题没有完全解决。他们不断问我,让我透露更多细节。”

        不过在 7 月 25 日,苹果倒是修复了 Balic 报告的其 Web 服务器通知页面的 XSS 漏洞。

苹果半年前就已知道艳照漏洞!但懒得修复

来自: 驱动之家