El investigador de seguridad David Vieira-Kurz de MajorSecurity ha descubierto una nueva vulnerabilidad grave que entrañe el navegador Safari Mobile en el iOS 5.1. El fallo pone en peligro la seguridad de los dispositivos iPhone y iPad de Apple permiendo a los atacantes engañar e inducir a errores de los usuarios para suplantar su identidad.
El caso ya ha sido presentado el 3 de marzo a los expertos en Cupertino, y se espera que en los próximos días se proporcione una actualización específica que solucione este inconveniente de seguridad del navegador Safari para iOS 5.1
De acuerdo a clo comunicado por Vieira-Kurz, la vulnerabilidad es causada por un error en el manejo de URLs cuando se utiliza el método indow.open() en Javascript.
Cualquier atacante por lo tanto, puede utilizar el error para atraer al usuario en el suministro de información sensible a una imitación del portal web maliciosamente disfrazado del original en el que el consumidor se ha tratado de conectar.
En resumen, el sitio sigue siendo el mismo en apariencia, pero no es el verdadero, no porque la información contenida en la barra de direcciones está especialmente modificada y tiende a engañar al usuario.
Para aclarar la situación, la compañía de seguridad ha creado una versión parcial de programa que le permite entender realmente lo que es. Para probarlo, sólo tienes que seguir los pasos.
- Visita http://majorsecurity.net/html5/ios51-demo.html con Safari en el iPhone OS 5.1;
- Clickea en «demo»;
- Safari abrirá una nueva ventana con «http://www.apple.com» en la barra de direcciones, pero en realidad «http://www.apple.com» se muestra dentro de un iframe en el interior del sitio de acogida http://www.majorsecurity.net;
- En este punto se puede ver cómo la barra de direcciones de Safari en realidad muestra «http://www.apple.com» que engaña al usuario para que se crea que es realmente el sitio de Apple, cuando en realidad sigue siendo el sitio del atacante .
La vulnerabilidad ha sido confirmada en el iPhone 4, iPhone 4S, iPad 2 y el nuevo iPad con iOS 5.1.
Teresa A.
