LinkediniOSアプリケーションバージョン9.11.8592.4CPUの枯渇に対して脆弱

LinkedIn。リンダ

2014年に6億人のWhatsAppユーザーに影響を及ぼし、それ以降、リモートで開始されたシステムクラッシュを引き起こすことにより、さらに多くのユーザーに影響を与えることが判明した、リモートで悪用可能な脆弱性が新しい形で再浮上しました。 iOS用のLinkedInモバイルアプリケーションバージョン9.11以前には、ユーザー指定の入力によってトリガーされる可能性のあるCPUリソース枯渇の脆弱性が含まれていることが判明しています。

この脆弱性は、ユーザーが入力したモバイルアプリケーションのフィルターが悪意のある入力や厄介な入力を検出できないという事実から生じます。ユーザーがLinkedInアプリケーションでそのようなメッセージを別のユーザーに送信すると、メッセージを表示すると、スクリプトが読み取られ、表示されたコードがCPUのオーバーホールを促し、枯渇クラッシュが発生します。

この脆弱性は、iPhoneのオペレーティングシステムバージョン11.4.1に影響を及ぼし、主にiPhone7モバイルデバイスを標的にしていることが判明しています。このシステムで悪意のあるコードが読み取られると、62秒を超える48秒のCPU時間が発生し、平均93％のCPUが発生します。このCPU平均は、60秒でカットオフされた80％のCPU使用率をはるかに上回っており、システムの枯渇とその結果としてのクラッシュを引き起こします。

WhatsAppで見られるように、コードが最新のメッセージ行から削除されると、CPUクラッシュは停止します。これは、LinkedInのモバイルアプリケーションにも当てはまるようです。アプリケーションを再起動しようとするたびにシステムがクラッシュするのを防ぐには、障害のあるコードを送信したユーザーに、クラッシュを停止するための別のプレーンメッセージを送信するように依頼する必要があります。これは、この脆弱性を悪用して問題を引き起こそうとしている攻撃者からメッセージを受け取った場合の最も簡単な緩和手法ではありません。

ザ・ 次のスクリプト Juan Saccoによって作成されたものは、CPUの枯渇を引き起こすコードを生成します。

この脆弱性が発生したばかりで、LinkedInが注目しています。更新、パッチ、または緩和の詳細に関するアドバイザリは、まだ会社からリリースされていません。