Lamiyi

Appleは、ハッカーが不正にアプリ内購入を検証できる脆弱性をiOS 6で修正すると発表した。

iOS 5.1以前のバージョンにおいて、iOSデバイスからApp Storeサーバーに直接接続することでアプリ内購入レシートを検証する際に発生する脆弱性が発見されました。攻撃者はDNSテーブルを改ざんすることで、これらのリクエストを攻撃者が管理するサーバーにリダイレクトできます。攻撃者は、攻撃者が管理し、ユーザーがデバイスにインストールした認証局を利用して、攻撃者のサーバーをApp Storeサーバーとして偽装するSSL証明書を発行できます。この偽装サーバーは、無効なレシートの検証を要求されると、レシートが有効であるかのように応答します。

iOS 6ではこの脆弱性が修正されます。アプリが以下のベストプラクティスに従っている場合、この攻撃の影響を受けません。

Apple は、開発者が今すぐにこの脆弱性を回避するために実行できる手順も提供しています。

続きを読む [テレサ経由]

iClarifiedをフォロー