ثغرة VoiceOver تتيح للمتسللين إمكانية عرض صور آيفون وإرسالها إلى جهاز آخر

جهينة نيوز -

اكتشف مُخترق كمبيوتر غير محترف يطلق على نفسه اسم «خوسيه رودريغيز» يوم الجمعة طريقة غامضة  لكنها فعالة لاستعراض صور الآيفون وهو مغلق، واستطاع عرض صور آيفون وإرسالها إلى جهاز آخر ، وتخطي شاشة القفل في أجهزة آيفون، حيث تعتمد على خلل في أداة قراءة الشاشة VoiceOver من أجل الوصول غير المصرح به إلى الصور على الجهاز المستهدف، حسب موقع Appleinsider الأميركي.

ووفقاً لمقطع فيديو قصير على قناة اليوتيوب الخاصة برودريغيز، فإن هذا الاختراق يتطلب من المتسلل أن يكون لديه كل من جهازه الشخصي والجهاز المُستهدَف في وقت الهجوم.

ثغرة voiceover

كما أوضح رودريغيز لموقع Appleinsider ، يستقبل جهاز الآيفون المُستهدَف مكالمة هاتفية لأول مرة من رقم خارجي، مما يؤدي إلى إظهار شاشة اتصال iOS. إذا كان المُهاجم لا يعرف رقم الهاتف المستهدف، فيمكنه الحصول على معلومات هوية المتصل عن طريق استدعاء سيري وطلب الاتصال برقم هاتفه الشخصي.

في فيديو إثبات فعالية الطريقة، ينقر رودريغيز على خيار «الرسائل» على شاشة اتصال iOS ويختار «مخصص Custom» لعرض واجهة مستخدم الرسائل. بعد إدخال بعض الأحرف العشوائية في مربع النص، يستدعي سيري مرة أخرى لتفعيل أداة VoiceOver.

عند العودة إلى الرسائل، ينقر رودريغيز على رمز الكاميرا، بينما يستدعي سيري من خلال الزر الجانبي للآيفون، ثم ينقر مرتين على الشاشة ليظهر ما يبدو أنه مشكلة على مستوى النظام. في حين يجب تنفيذ هذه الخطوة بعينها بمستوى معين من الدقة، يمكن للمُخترِق تكرار العملية عدة مرات حتى يتم تحقيق التأثير المطلوب.

يتم عرض شاشة سوداء عند استيفاء شروط الثغرة. وكما يوضح رودريغيز، فإن أداة تحديد النص في VoiceOver قادرة على الوصول إلى خيارات واجهة المستخدم «المخفية» من خلال إيماءات التنقل المعتادة. السحب إلى اليسار على الشاشة السوداء يأخذ رودريغيز إلى «مكتبة الصور» التي تعيده إلى تطبيق الرسائل عند تحديدها عن طريق النقر المزدوج.

تصبح خانة التطبيقات أسفل مربع إدخال النص فارغة، ولكنه يترك زر إغلاق التطبيقات نشطاً. الضغط على هذا الزر مع السحب إلى اليمين يتيح لأداة VoiceOver الدخول غير الملاحظ إلى الصور الخاصة بالجهاز الهدف، حيث تتم قراءة تفاصيلها بصوت عال من قِبل النظام.

يؤدي التنقل عبر مكتبة الصور، التي يبدو أنها مخفية بواسطة واجهة الرسائل، والنقر المزدوج على صورة معينة إلى إدراج الصورة في مربع نص الرسائل. يمكن إدراج صور متعددة وعرضها وإرسالها إلى جهاز المهاجم بهذه الطريقة.

كيف تحمي نفسك؟

وأكد موقع Appleinsider بشكل مستقل النتائج التي توصل إليها رودريغيز باستخدام أجهزة آيفون الحالية، بما في ذلك أجهزة آيفون إكس وإكس إس، والتي تعمل بنظام التشغيل الأحدث iOS 12.0.1.

انتشر خبر هذه الثغرة بعد أسبوعين من اكتشاف رودريغيز لزَوجٍ من نقاط الضعف المشابهة في أداة VoiceOver والتي تسمح بالوصول غير المُصرّح به إلى جهات اتصال المستخدم والصور. وعلى عكس الأساليب التي تم كشفها سابقاً، فإن هذه الطريقة أقل تعقيداً بكثير وتسمح للمهاجمين المحتملين بتفريغ الصور على جهاز آخر بسهولة نسبية.

يمكن للمستخدمين القلقين، تقليل التعرض إلى مثل هذا الخطأ الواضح عن طريق تعطيل وصول سيري إلى شاشة القفل من خلال الإعدادات> مُعرّف الوجه ورمز المرور أو الإعدادات> Touch ID ورمز المرور تحت خانة «السماح بالوصول عند القفل».