搜索

[8871] 2015-04-26_流行iOS网络通信库AFNetworking曝SSL漏洞，影响银联、中国银行、交通银行在内的2.5万个iOS应用

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-17
2015-04-26_流行iOS网络通信库AFNetworking曝SSL漏洞，影响银联、中国银行、交通银行在内的2.5万个iOS应用 流 行 i O S 网 络 通 信 库 A F N e t w o r k i n g 曝 S S L 漏 洞 ， 影 响 银 联 、 中 国 银 行 、 交 通 银 行 在 内 的 2 . 5 万 个 i O S 应 用 F r e e B u f   2 0 1 5 - 0 4 - 2 6 微 信 ： 微 信 ： f r e e b u f 一 个 存 在 于 流 行 开 源 一 个 存 在 于 流 行 开 源 i O S 网 络 通 信 库 网 络 通 信 库 A F N e t w o r k i n g 中 的 严 重 漏 洞 使 得 苹 果 应 用 商 店 中 的 中 的 严 重 漏 洞 使 得 苹 果 应 用 商 店 中 的 2 5 0 0 0 个 个 i O S 应 用 中 的 应 用 中 的 H T T P S 流 流 量 暴 露 在 中 间 人 （ 量 暴 露 在 中 间 人 （ M I T M ） 攻 击 之 下 。 ） 攻 击 之 下 。 A F N e t w o r k i n g 是 一 款 大 名 鼎 鼎 的 开 源 网 络 库 ， 能 够 让 开 发 者 们 在 i O S 和 O S   X 程 序 中 加 入 网 络 功 能 。 但 是 ， 这 款 库 没 有 检 查 S S L 证 书 是 否 是 颁 发 给 某 个 合 法 域 名 。 这 直 接 导 致 了 任 何 使 用 了 早 于 2 . 5 . 3 版 本 的 A F N e t w o r k i n g 的 i O S 程 序 都 存 在 漏 洞 ， 即 使 程 序 由 S S L 加 密 数 据 ， 黑 客 可 以 窃 取 和 篡 改 数 据 。 使 用 任 何 使 用 任 何 S S L 证 书 解 密 证 书 解 密 H T T P S 加 密 数 据 加 密 数 据 攻 击 者 可 以 使 用 任 何 S S L 证 书 解 密 加 密 数 据 — — 证 书 只 要 是 由 可 信 的 证 书 机 构 ( C A ) 发 布 的 都 行 ， 而 这 类 证 书 5 0 美 元 就 可 以 买 到 。 " 这 就 是 说 ， 咖 啡 店 里 的 攻 击 者 仍 然 能 够 对 应 用 与 互 联 网 之 间 传 输 的 隐 私 数 据 进 行 监 听 甚 至 是 控 制 S S L 会 话 。 " 举 个 例 子 ， 攻 击 者 可 以 使 用 F r e e B u f . c o m 的 证 书 来 伪 造 f a c e b o o k . c o m 的 。 来 自 Y e l p 的 I v a n   L e i c h t l i n g 报 告 称 ， 漏 洞 估 计 能 够 影 响 2 5 , 0 0 0 个 i O S 应 用 。 2 . 5 . 2 版 没 能 修 复 漏 洞 版 没 能 修 复 漏 洞 A F N e t w o r k i n g 在 其 最 新 发 行 的 2 . 5 . 3 版 本 中 修 复 了 这 个 漏 洞 。 而 在 其 上 一 个 版 本 ( 2 . 5 . 2 ) 中 ， A F N e t w o r k i n g 修 复 了 另 一 个 S S L 相 关 的 漏 洞 ， 却 没 有 修 复 这 个 。 之 前 大 家 以 为 A F N e t w o r k i n g   2 . 5 . 2 解 决 了 S S L 证 书 验 证 的 问 题 ， 那 个 问 题 是 ： 攻 击 者 可 以 使 用 自 签 名 的 证 书 截 听 i O S 应 用 于 服 务 器 之 间 的 加 密 的 敏 感 数 据 。 因 此 ， 任 何 有 条 件 进 行 中 间 人 攻 击 的 人 ， 比 如 在 不 安 全 的 因 此 ， 任 何 有 条 件 进 行 中 间 人 攻 击 的 人 ， 比 如 在 不 安 全 的 W i f i 网 络 中 的 黑 客 ， 网 络 中 的 黑 客 ， V P N 网 络 中 的 坏 职 工 或 者 国 家 支 持 的 网 络 中 的 坏 职 工 或 者 国 家 支 持 的 黑 客 ， 只 要 使 用 证 书 管 理 机 构 黑 客 ， 只 要 使 用 证 书 管 理 机 构 ( C A ) 颁 发 的 证 书 ， 就 可 以 监 控 或 者 修 改 通 信 。 颁 发 的 证 书 ， 就 可 以 监 控 或 者 修 改 通 信 。
大 量 知 名 大 量 知 名 A P P 中 枪 中 枪 安 全 公 司 S o u r c e D N A 快 速 扫 描 i O S 市 场 中 存 在 漏 洞 的 i O S 应 用 ， 发 现 了 包 括 美 国 银 行 、 美 国 富 国 银 行 、 摩 根 大 通 等 A P P 都 可 能 受 到 影 响 ， 而 来 自 顶 尖 开 发 者 诸 如 雅 虎 和 微 软 的 i O S 应 用 也 存 在 这 个 漏 洞 。 F r e e B u f 测 试 了 几 款 国 内 金 融 类 A P P ， 发 现 银 联 、 中 国 银 行 、 交 通 银 行 的 A P P 纷 纷 中 招 。 安 全 建 议 安 全 建 议 为 了 防 止 黑 客 利 用 漏 洞 ， S o u r c e D N A 没 有 公 开 存 在 漏 洞 的 i O S 应 用 。 安 全 研 究 人 员 建 议 开 发 者 将 最 新 版 本 ( 2 . 5 . 3 ) 的 A F N e t w o r k i n g 整 合 到 应 用 中 去 ， 这 个 版 本 默 认 开 启 了 域 名 验 证 功 能 。 ( 在 之 前 的 版 本 中 实 际 上 是 有 域 名 验 证 功 能 的 ， 但 是 要 开 启 v a l i d a t e s D o m a i n N a m e 属 性 ， 而 它 默 认 是 关 闭 的 ) 安 全 研 究 人 员 还 建 议 用 户 立 即 检 查 他 们 所 使 用 应 用 的 状 态 ， 特 别 是 那 些 使 用 银 行 帐 号 信 息 等 敏 感 信 息 的 应 用 。 在 线 检 测 在 线 检 测 这 一 款 免 费 的 检 测 工 具 ， 帮 助 开 发 者 和 用 户 们 检 查 应 用 是 否 存 在 漏 洞 。 点 击 最 下 方 阅 读 原 文 * 参 考 来 源 T H N ， 译 / S p h i n x ， 文 章 有 修 改 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理