Уязвимость, найденная на iOS 13 позволяет злоумышленникам получить доступ к вашим контактам, даже если ваш iPhone заблокирован.

Несмотря на то, что версия iOS 13 не будет выпущена до 19 сентября, специалист по безопасности, Хосе Родригес, уже опубликовал видео на YouTube (от имени The Verge), демонстрирующее эксплойт, который он обнаружил на следующей крупной сборке мобильной операционной системы Apple. Совершив вызов FaceTime и включив функцию Siri VoiceOver (функция озвучивания происходящего на экране), пользователь iPhone может получить доступ к списку контактов владельца телефона. Эта уязвимость может предоставить хакеру список телефонных номеров, адресов электронной почты, уличных адресов и многое другое без разблокировки устройства. Фотографии владельца телефона по-прежнему защищены. VoiceOver позволяет Siri читать текст, который появляется на дисплее iPhone и считается функцией доступности для тех, кто ослеп или страдает от нарушения зрения.

Родригес говорит, что он отправил Apple видео, демонстрирующее уязвимость еще 17 июля, но оно все еще появляется в версии Gold Master (GM) iOS 13, которая будет распространена на следующей неделе. Используя версию GM iOS 13 на iPhone X, The Verge смогла дублировать обход блокировки экрана. В прошлом году Родригес обнаружил аналогичный эксплойт на iOS 12.1, который позволил хакерам получить доступ не только к контактам пользователя телефона, но и к его фотографиям. Впоследствии Apple исправила эту проблему в более позднем обновлении. VoiceOver также сыграл важную роль в еще одном подобном эксплойте, который позволил хакерам просматривать контакты пользователя iPhone с установленной iOS 8.

Как и эксплойт, который он обнаружил в прошлом году, новая уязвимость iOS 13 требует, чтобы хакер имел возможность использовать iPhone цели достаточно долго, чтобы завершить весь процесс. Он также требует второго телефона, чтобы инициировать вызов FaceTime с целевым iPhone. Ожидается, что Apple исправит этот эксплойт в iOS 13.1, которая должна быть выпущена 30 сентября.

А вот и видео, которое Родригес отправил в Apple.