Une vulnérabilité dans le lecteur de code QR intégré dans l’application appareil photo sur iOS pourrait permettre aux utilisateurs d’être dirigés vers un site Web malveillant à leur insu.
Un autre jour, une autre découverte de bugs sur iOS. L’application native appareil photo sur iOS 11 a été récemment mise à jour pour détecter automatiquement les codes QR et afficher les aperçus des liens au cas où le code QR contiendrait une URL. Cependant, des rapports ont fait surface en ligne suggérant que cette fonctionnalité a un bug apparent qui peut permettre aux gens de changer l’URL réelle qui est redirigée en cliquant sur le lien affiché dans l’aperçu de la notification.
Un rapport d’InfoSec détaille le nouveau bug qui implique la création d’un nom d’hôte connu tel que facebook.com ou google.com dans l’aperçu de la notification, tout en ajoutant une URL différente quand la redirection se fait dans Safari. Par exemple, le rapport utilise facebook.com comme URL visible alors que l’adresse réelle est https://[email protected]:[email protected]/. L’analyse du code QR personnalisé affichera facebook.com dans la notification mais en cliquant dessus, un site Web non lié au réseau social sera ouvert. On dit que c’est parce que « l’analyseur d’URL de l’application de caméra a un problème à détecter le nom d’hôte dans l’URL de la même manière que Safari ».
Ceci, à son tour, causerait une mauvaise communication entre l’application de l’appareil photo et Safari, menant à un bug évidemment majeur. Le rapport affirme qu’Apple a été informé pour la première fois de l’existence du bug le 23 décembre de l’année dernière, mais le bug n’a pas encore été corrigé.
Ce n’est pas la première fois qu’iOS 11 est impliqué dans un bug majeur de l’interface utilisateur. Tout récemment, une vulnérabilité de confidentialité a frappé le système d’exploitation mobile, à l’aide de laquelle Siri pouvait lire les notifications d’un iPhone quand il est verrouillé, même celles qui étaient cachées derrière un code secret ou une vérification biométrique. Apple a depuis répondu et promis une solution dans une prochaine mise à jour logicielle.
