蘋果“仍在調(diào)查”iOS 15中未修補(bǔ)的三個(gè)安全漏洞
9 月初,安全研究員 Denis Tokarev 撰寫了一篇博文,其中無(wú)奈地吐槽了與蘋果漏洞賞金計(jì)劃的一些互動(dòng)。事情源于通過(guò) Bug Nounty Program 向蘋果提交的四個(gè)安全漏洞,然而等待許久之后,他發(fā)現(xiàn)只有一個(gè)得到了修復(fù)。最新消息是,蘋果已就此事給出了回應(yīng),聲稱其“仍在調(diào)查”相關(guān)問(wèn)題。
Tokarev 在接受 Motherboard 采訪時(shí)稱,在早前推出的 iOS 15 更新中,其它三個(gè)漏洞未能得到及時(shí)修復(fù)。現(xiàn)在,蘋果方面已就延遲溝通致歉,并補(bǔ)充說(shuō)明該公司正在調(diào)查相關(guān)問(wèn)題。
我們已看到您有關(guān)該問(wèn)題的博文和其它報(bào)告,并為過(guò)晚的回復(fù)而表示歉意。我們想讓您直到,我們?nèi)栽谡{(diào)查這些問(wèn)題,以及我們是如何修復(fù)以保護(hù)客戶的。
再次感謝您抽出時(shí)間向我們報(bào)告這些問(wèn)題,如有任何需要協(xié)助的地方,還請(qǐng)告知。
然而除了蘋果仍在修復(fù)的三個(gè)樓棟外,Tokarev 表示自己并沒(méi)有因?yàn)樯蠄?bào)已修復(fù)的那個(gè)漏洞而受到贊揚(yáng)。
據(jù)悉,未修補(bǔ)的三個(gè)漏洞中包括了一個(gè)缺陷,或?qū)е?App Store 應(yīng)用讀取包括 Apple ID、電子郵件地址、聯(lián)系人列表等在內(nèi)的某些數(shù)據(jù)。
不過(guò) Tokarev 也承認(rèn),其于 2021 年 3 月 10 日 - 5 月 4 日期間上報(bào)的這三個(gè)漏洞都沒(méi)有那么嚴(yán)重,因而能夠在一定程度上理解蘋果給它們安排的優(yōu)先級(jí)沒(méi)那么高。
最后,盡管蘋果宣稱漏洞賞金計(jì)劃“大獲成功”,但還是有至少一位網(wǎng)絡(luò)安全專家向 Motherboard 表示,蘋果對(duì)這類情況的處置有些反常。
另一位則表示,直到媒體曝光了維修部的漏洞之后,蘋果公司才專門拿出了點(diǎn)精力去回應(yīng) Tokarev 的質(zhì)疑。