Tweet

0

Apple geeft firmware-update iPhone vrij

Lek laat ongevraagde telefoontjes toe

Apple heeft firmware-update 2.2 voor de iPhone uitgebracht. Naast het toevoegen van een aantal nieuwe functies repareert de 245 MB zware update een twaalftal lekken, waaronder een kwetsbaarheid die malafide webpagina's toestaat om de telefoonfunctie te gebruiken.

De update breidt Google Maps uit met Google Street View (foto's op ooghoogte) en maakt het mogelijk om de autotekstfunctie uit te schakelen. Het Google-zoekveld is nu altijd zichtbaar in Safari, dat door de update stabieler zou draaien. Liefhebbers van podcasts kunnen deze voortaan downloaden in de iTunes Store via de draadloze internetverbinding. Tevens verbetert de update de ontvangst van de iphone, beweert Apple.


Firmware-update 2.2 brengt Street View naar de iPhone

Twaalf lekken
De update repareert tegelijkertijd twaalf lekken, waarvan enkele zeer ernstig. Eén daarvan is gemeld door het gerenommeerde Duitse Fraunhofer-onderzoeksinstituut. De kwetsbaarheid zou verwant zijn aan een gelijkaardig probleem dat Apple vorig jaar met nieuwe firmware oploste. In een waarschuwing zegt het instituut dat het lek aanwezig is in alle verkochte iPhones.

Een aanval zou als volgt in z'n werk gaan: iemand ontvangt per sms of mail een link naar een malafide site. Als de iPhone-eigenaar naar deze site gaat, wordt automatisch een telefoonnummer opgebeld. Het scherm van de iPhone verandert op hetzelfde moment in een grijs vlak en het afbreken van het telefoonverbinding lukt niet. De enige oplossing is wellicht de gsm uitzetten.

Dure betaalnummers
Fraunhofer vermoedt dat het lek misbruikt zou worden om dure betaalnummers op te bellen. Een aanval op iPhones lanceren zou niet bijzonder moeilijk zijn, zeggen de onderzoekers. Drie lijntjes code, verborgen in een webpagina, volstaan.

"Elke aanvaller met een basiskennis van HTML kan deze kwetsbaarheid gebruiken, om op grote schaal schade aan te richten", zegt Fraunhofers Collin Mulliner. "Zelfs amateurs kunnen het." Een demonstratie van de hack is hier te vinden.

Andere patches
De mogelijkheid om een noodoproep te doen terwijl de iPhone geblokkeerd is, zorgt ook voor een beveiligingsprobleem. Iemand met fysieke toegang tot de telefoon kon deze functie namelijk misbruiken om willekeurige nummers te bellen, op kosten van de eigenaar. Daarnaast repareert de firmware een zwakke plek in de Passcode Lock-functie. Deze kon in bepaalde omstandigheden verwijderd worden, wat het mogelijk maakte om applicaties te starten zonder het benodigde cijferslot.

bron: ZDNet