IT之家 9 月 27 日消息 據(jù) MacRumors 報道，2019 年，蘋果公司向公眾開放了安全懸賞計劃，向與蘋果公司分享關(guān)鍵的 iOS、iPadOS、macOS、tvOS 或 watchOS 安全漏洞的研究人員提供最高 100 萬美元（約 646 萬元人民幣）的報酬，包括利用這些漏洞的技術(shù)。該計劃旨在幫助蘋果公司盡可能地保持其軟件平臺的安全。
在此后的時間里，有報告顯示一些安全研究人員對該計劃不滿意，現(xiàn)在一位使用化名“illusionofchaos”的安全研究人員分享了他們類似的“令人沮喪的經(jīng)歷”。
在 Kosta Eleftheriou 強調(diào)的一篇博文中，這位不愿透露姓名的安全研究員說，他們在今年 3 月至 5 月間向蘋果報告了 4 個零日漏洞（0-day，是指被發(fā)現(xiàn)后立即被惡意利用的安全漏洞），但他們說，其中 3 個漏洞在 iOS 15 中仍然存在，一個漏洞在 iOS 14.7 中得到了修復(fù)，但蘋果沒有給他們?nèi)魏为剟睢?/p>
“我想分享我參加蘋果安全懸賞計劃的令人沮喪的經(jīng)歷。今年 3 月 10 日至 5 月 4 日期間，我報告了 4 個零日漏洞，截至目前，其中 3 個仍存在于最新的 iOS 版本（15.0）中，一個在 14.7 中得到修復(fù)，但蘋果決定掩蓋它，不把它列在安全內(nèi)容頁面上。當(dāng)我與他們對質(zhì)時，他們表示歉意，向我保證這是由于處理問題而發(fā)生的，并承諾在下一次更新的安全內(nèi)容頁面上列出。此后有三個版本，他們每次都違背承諾?！?/p>
該人士說，上周，他們警告通知蘋果，如果他們沒有收到回應(yīng)，他們將公開自己的研究。然而，蘋果公司沒有理會這一要求，導(dǎo)致他們公開披露了這些漏洞。
IT之家獲悉，其中一個零日漏洞與游戲中心有關(guān)，據(jù)稱允許任何從 App Store 安裝的應(yīng)用程序訪問一些用戶數(shù)據(jù)。
“- Apple ID 電子郵件和與之相關(guān)的全名
- Apple ID 認(rèn)證令牌，允許代表用戶訪問 *.apple.com 上的至少一個端點
- 對 Core Duet 數(shù)據(jù)庫的完整文件系統(tǒng)讀取訪問，包含來自郵件、短信、iMessage、第三方消息應(yīng)用程序的聯(lián)系人列表以及關(guān)于所有用戶與這些聯(lián)系人互動的元數(shù)據(jù)（包括時間戳和統(tǒng)計數(shù)據(jù)），還有一些附件（如 URL 和文本）。
- 對快速撥號數(shù)據(jù)庫和地址簿數(shù)據(jù)庫的完整文件系統(tǒng)讀取權(quán)限，包括聯(lián)系人圖片和其他元數(shù)據(jù)，如創(chuàng)建和修改日期（剛剛在 iOS 15 上檢查過，這個漏洞無法訪問，所以這個漏洞最近一定被悄悄修復(fù)了）?！?/p>
另外兩個零日漏洞顯然仍然存在于 iOS 15 中，以及 iOS 14.7 中修補的那個漏洞，也在博文中被詳細(xì)說明。
蘋果尚未對該紕漏 iOS 系統(tǒng)零日漏洞博文發(fā)表評論進行回應(yīng)。
廣告聲明：文內(nèi)含有的對外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。