Osegi
Bezpieczeństwo·1 min czytania

worse_query na iPhonie: Binance ostrzega, poprawki wciąż brak

Binance ostrzega przed luką worse_query w iOS, przez którą złośliwa aplikacja może czytać pliki innych aplikacji, także frazy seed. Badacze: iOS 27.2.1 jej nie łata.

An iPhone showing a crypto wallet app with a red security warning icon over the screen.
Zdjęcie: 9to5Mac
SUMODialoediviewergiftdetect

Jeśli trzymasz kryptowaluty w aplikacji na iPhonie, warto zajrzeć do tej historii. Giełda Binance ostrzegła użytkowników przed luką w iOS o nazwie worse_query, która pozwala złośliwym aplikacjom czytać lokalne pliki innych aplikacji. Według badaczy poprawki nadal nie ma.

W poście na X Binance napisała, że luka naraża na ryzyko frazy seed, klucze prywatne i dane logowania w całym ekosystemie. Firma podkreśla, że to problem na poziomie iOS, a nie tylko jej aplikacji. Dotyczy wersji iOS 26.7.1, 27.0.1 i 27.2.

Notatka społeczności pod wpisem zwraca uwagę, że badacze opisują lukę jako niezałataną podatność zero-day. Najnowsze aktualizacje bezpieczeństwa Apple, w tym iOS 27.2.1, nie wspominają o poprawce. Badacz @forcequitOS dodał, że worse_query nie jest załatana ani w iOS 27.2.1, ani w becie 1 iOS 27.3.

Jak działa luka worse_query?

Lukę ujawnili badacze @0xjohnny i @forcequitOS. Opublikowali na GitHubie dowód koncepcji, który pokazuje, jak obejść piaskownicę iOS, czyli mechanizm normalnie uniemożliwiający aplikacjom zaglądanie do swoich plików. Autorzy twierdzą, że kod jest przeznaczony dla programistów i sam w sobie niewiele daje. Inni twórcy zdążyli jednak zbudować na nim aplikacje, w tym menedżer plików, który potrafi czytać, zmieniać i usuwać dane innych aplikacji bez jailbreaka.

Co zrobić, żeby się chronić?

Binance radzi, by poza aktualizacją iOS i wszystkich aplikacji zrobić trzy rzeczy:

  • usunąć aplikacje z niezaufanych źródeł, na przykład instalowane bokiem (sideloading) lub ręcznie podpisane pliki IPA;
  • zaktualizować iOS i aplikacje do najnowszych oficjalnych wersji;
  • w razie podejrzenia włamania przenieść środki do nowego portfela utworzonego na czystym urządzeniu i zresetować wszystkie aktywne sesje logowania.

Jak podaje The Hacker News, ani Binance, ani badacze nie zgłosili na razie ataków ani kradzieży kryptowalut z użyciem tej luki.

Aplikacje warte uwagi

SUMO: łamigłówka liczbowa

Wybierz właściwe pola, dodaj je i trafiaj w cel. Łatwa do nauczenia, trudna do opanowania. Za darmo, dla każdego wieku.

Tagi:binanceiosworse_queryzero-dayiphone securitycrypto wallets

Więcej z tego dnia

Zobacz wszystkie →

Więcej w kategorii: Bezpieczeństwo

Zobacz wszystkie →