Configurações de aplicativos implantados através de produtos de gerenciamento de dispositivos móveis podem ser lidos por outros aplicativos
Uma vulnerabilidade no sandbox iOS para aplicações de terceiros, como aquelas instaladas por empresas nos dispositivos de seus funcionários, pode expor as definições de configuração e credenciais sensíveis.
A falha foi descoberta por pesquisadores da empresa de segurança móvel Appthority e afeta aplicativos implantados em dispositivos iOS através de MDM (grenciamento de dispositivos móveis) ou produto de gerenciamento mobilidade (EEM). Estes produtos permitem que os administradores instalem automaticamente aplicações, definições de configuração e regras de acesso de dados para dispositivos móveis da empresa.
Antes que um novo dispositivo iOS é trazido para dentro da rede de uma empresa que utiliza um sistema de gerenciamento móvel, uma conta MDM é criada e um aplicativo cliente está instalado. O cliente MDM é usado para instalar aplicativos corporativos e para impor políticas de acesso para dados e e-mail corporativos.
De acordo com a empresa Appthority, quando aplicativos corporativos são implementados dessa maneira, suas definições de configuração sensíveis, que podem incluir URLs internas do servidor, nomes de usuário, senhas e tokens de acesso, são armazenados em um local “acessível pelo mundo”.
Devido a isso, qualquer outro aplicativo instalado no mesmo dispositivo pode ler essa informação, violar a proteção padrão de sandbox do aplicativo iOS. Esta proteção deveria impedir que aplicativos pudessem ler os dados de outros aplicativos.
Segundo os pesquisadores da empresa Appthority, atacantes poderiam criar um aplicativo não autorizado projetado para ler informações confidenciais de aplicativos que usam o gerenciamento de configurações e poderia distribuir esse aplicativo através da loja iTunes ou via ataques de spear phishing baseados em e-mail. Para aumentar a chance de afetar os usuários corporativos, os atacantes poderiam projetar o app falso para funcionar como uma ferramenta de produtividade.
Pode ser difícil detectar o comportamento malicioso do aplicativo nocivo, porque seria apenas um dos muitos aplicativos legítimos com acesso ao diretório onde as configurações gerenciadas são armazenadas.
O impacto para as empresas depende do tipo de informação que pode ser exposta através de configurações dos aplicativos gerenciados. Appthority fez uma varredura em milhões de aplicativos e descobriu que a maioria dos apps com dados de configuração vulneráveis eram clientes MDM, ou seja, aplicativos corporativos que concedem acesso ao e-mail corporativo, documentos de negócios e navegadores seguros utilizados em redes internas.
“Também descobrimos aplicativos usados no setor de saúde, dando aos médicos o acesso a dados do paciente e registros”, cujo compromisso pode resultar em possíveis violações da Health Insurance Portability e Accountability Act (HIPAA), disseram os pesquisadores.
Quase metade das configurações gerenciadas para as aplicações identificadas tinham credenciais como nomes de usuários, senhas e tokens de acesso e 67% continham informações identificando os servidores, de acordo com Appthority.
A Apple corrigiu a vulnerabilidade no iOS 8.4.1, a correção foi lançada em 13 de agosto pela configuração do perfil de sandbox para aplicações com preferências gerenciadas. No entanto, com base em verificações anteriores, Appthority determinou que até 70 por cento dos dispositivos iOS não são atualizados para a versão mais recente iOS, mesmo meses depois do lançamento da correção.