Un investigador de seguridad descubrió un error en iOS WebView que permitirá a un atacante forzar a un iPhone a marcar cualquier número y bloquear la interfaz del teléfono para que la llamada saliente no pueda cancelarse.

El problema fue planteado por Collin Mulliner, quien se encontró con un error similar en el navegador Safari en 2008, que luego se solucionó en la actualización de iOS 3. Mulliner decidió volver a analizar el error, dijo, después de leer una historia sobre un adolescente que fue arrestado por explotar aparentemente inadvertidamente un error similar para inundar los centros de llamadas del 911 en los EE. UU..

Mulliner descubrió que el error es ligeramente diferente al que descubrió en 2008, pero cree que descubrió cómo funciona.

Las aplicaciones deben preguntar primero

El error se inicia por primera vez cuando un usuario de iPhone hace clic en un enlace malicioso publicado en aplicaciones como Twitter y LinkedIn, que utilizan el componente WebView de iOS para abrir una página web dentro de la aplicación en lugar de un navegador externo como Safari o Chrome..

El enlace lleva al usuario a una página web que obliga al iPhone a marcar el número incrustado allí y la página se recarga repetidamente, congelando el dispositivo y haciendo imposible cancelar la llamada..

La razón por la que el iPhone se ve obligado a marcar el número es porque WebView abre los enlaces de estas aplicaciones, que marcan automáticamente los números incrustados, a diferencia de Safari, que resolvió la iteración anterior del error preguntando al usuario a través de una ventana emergente si desea marque un número primero.

La explotación del error a los centros de llamadas DoS 911 es ciertamente terrible, pero Mulliner advierte que no es el único uso posible, sugiriendo que dichos enlaces también podrían llevar a los usuarios a páginas web con 900 números caros que permitirían a los atacantes ganar dinero con las víctimas.

Incluso teoriza que un acosador podría enviar un enlace incrustado con su propio número a su víctima para forzar una llamada que luego proporcionaría al acosador el número de la víctima..

En una publicación del blog, Mulliner afirma que informó sobre el error a Apple, pero también se contactó con LinkedIn y Twitter con sus hallazgos, ya que cree que los desarrolladores de aplicaciones por lo menos pueden revisar su uso de WebView hasta que Apple pueda cambiar su comportamiento predeterminado. Esperamos que emitan un parche rápidamente, no suena como si esta nube tuviera algún revestimiento plateado.

Mulliner ha publicado un video del error en acción, que puede ver a continuación:

  • Estas son las mejores ofertas de iPhone 7 disponibles en este momento.