Apple исправила криптобаг с «тройным рукопожатием» в OS X и iOS

Компания Apple устранила серьезную уязвимость в безопасности операционных систем OS X и iOS, которая позволяла злоумышленнику перехватить информацию из SSL-соединений. Это один из многих багов, исправленных 22 апреля с апдейтами OS X и iOS 7.1.1. Среди них есть и другие серьезные уязвимости, в том числе обход защиты памяти ASLR и выполнение произвольного кода после открытия вредоносных файлов PDF и JPEG в OS X Mavericks.

Криптобаг с «тройным рукопожатием» присутствует в системах OS X Mountain Lion 10.8.5, OS X Mavericks 10.9.2, а также iOS 7.1 и более ранних версий. Уязвимость позволяет злоумышленнику из привилегированной позиции в сети установить два соединения SSL с одними и теми же криптографическими ключами и рукопожатиями, внедрить свою информацию в одно соединение, а затем заново установить связь таким образом, что соединения подключаются друг к другу.

Еще одна устраненная уязвимость касается работы CFNetwork HTTPProtocol. Из-за небольшой ошибки в программном коде HTTP-заголовок Set-Cookie обрабатывается системой в любом случае, даже если соединение уже закрыто, а HTTP-заголовок не передан до конца. Таким образом, злоумышленник может отменить настройки безопасности, закрыв соединение до того, как переданы настройки, а затем получить содержимое незащищенного cookie.

Эти баги можно эксплуатировать на старых версиях OS X и iOS, для которых не выпущены обновления. Владельцам новых устройств Apple рекомендуется сделать апдейт как можно быстрее.

По стечению обстоятельств, обновления безопасности от Apple вышли именно сейчас, когда интернет-шифрование переживает серьезный кризис в связи с множеством найденных уязвимостей. Самым серьезной стала уязвимость Heartbleed в библиотеке OpenSSL, хотя Apple тоже блеснула своим багом “goto fail” два месяца назад.

Подобная ситуация наталкивает на мысль, что в криптографических библиотеках еще осталось много дыр, о которых могут знать спецслужбы.