كشف باحث أمني، أن عدداً كبيراً من التطبيقات المخصصة لنظام آي أو إس، والمتاحة عبر متجر آب ستور، معرضة لثغرة تتيح للقراصنة تنفيذ هجوم من نوع "رجل في المنتصف" MITM، مما يعرض بيانات المستخدمين للخطر.

وأوضح ويل سترافيش، عبر مدونته الشخصية، أن التحليل الأولي للبيانات أظهر وجود 76 من التطبيقات الشهيرة للنظام وتحديداً التي تعمل بنظام "آي أو إس 10" معرضة لعلميات الاعتراض الصامت للبيانات من قبل القراصنة، حتى وإن كانت هذه البيانات مؤمنة أو مشفرة باستخدام بروتوكول طبقة النقل المؤمنة "TSL".

وأضاف الباحث الأمني أن تلك التطبيقات المعرضة للهجوم تم تحميلها نحو 18 مليون مرة على أجهزة أبل العاملة بنظام "آي أو إس 10"، مما يضع بيانات الملايين من المستخدمين عرضة للاعتراض أو التلاعب من قبل القراصنة.

وتعمل الثغرة بسبب كود تستخدمه هذه التطبيقات يسمح بقبول أي شهادة توثيق لإنشاء اتصال مؤمن، مما يسهل للقراصنة خداع هذه التطبيقات واعتراض الاتصال خاصة وإن كان المستخدم متصل عبر شبكة لاسلكية، حيث شدد سترافيش أن الثغرة يصعب استغلالها إذا ما كان المستخدم متصلا بالإنترنت عبر شبكات الجوال.

وأكد سترافيش أن 33 من هذه التطبيقات متأثرة بشكل منخفض من الثغرة، و24 تطبيق بشكل متوسط، و19 تطبيق متأثر بشكل عالي الخطورة لهذه الثغرة، حيث يُمكن للقراصنة اعتراض عمليات تسجيل دخول إلى حسابات حساسة مثل الحسابات المالية والبنكية، وحسابات خدمات طبية، كما يستطيع القراصنة الحصول على الرموز الأمنية لمحاكاة عمليات تسجيل الدخول فيما بعد.

ومن التطبيقات المتأثر بشكل منخفض للثغرة، تطبيق "مصرف الأمان الليبي"، وتطبيق "فرع فيرست بنك في بورتريكو"، وتطبيق برايفت 24 الخاص بـبرايفت بنك الأوكراني، وتطبيقات للمحادثات مثل ooVoo وYeeCall وMico، وتطبيق منصة البث الحي Loops Live.

ومن التطبيقات الأخرى المتأثرة بشكل منخفض للثغرة، تطبيقات الجوائز CashApp، وFreeMyApps وGiftSaga، وتطبيق التعديل على الفيديو VivaVideo، وتطبيقي بث الموسيقى Volify وMusic tube، بجانب تطبيق كتب الأطفال Epic!، وتطبيق التخزين السحابي Tencent Cloud، وتطبيق متصفح الإنترنت Cheetah.

وتؤثر الثغرة كذلك بشكل منخفض على تطبيقات مثل VICE News للأخبار، وتطبيق منصة تداول الفوركس Trading 212، وتطبيق منصة الرهانات AutoLotto، وتطبيقي الشبكات الخاصة الافتراضي Private Browser وvpn Free-OvpnSpide، بجانب تطبيق التحكم بكاميرات المراقبة Foscam وتطبيق قراءة رموز QR التابع لشركة ScanLife والمتاح تحت اسم Code Scanner.

تطبيقات سناب شات 

وتسبب الثغرة في التأثير على عدة تطبيقات أخرى تستهدف مستخدمي سناب شات، مما يسمح بالحصول على المعلومات الخاص بحسابات هؤلاء المستخدمين، وهي تطبيقات Friends for Snapchat 1000 وUploader for Snapchat وSafe Up for Snapchat  وUploader Free for Snapchat  وSnap Upload for Snapchat.

ويتأثر مستخدمي مواقع إنترنت، ومنها شبكات تواصل اجتماعية، من بعض التطبيقات المصابة بالثغرة، والتي كشف عنها سترافيش، ومنها تطبيق Uconnect Access الذي قد يعرض حساب مستخدميه على خدمة راديو الإنترنت "بانادورا" للاختراق، وتطبيق InstaRepost  عند استخدامه مع حسابات إنستغرام.

يذكر أن سترافيش وضع فترة تمتد ما بين شهرين إلى ثلاثة شهور للسماح لمطوري التطبيقات التي تتأثر بشكل متوسط أو عالي الخطورة بالثغرة بإصدار تحديثات أمنية تحمي المستخدمين قبل أن يقوم بالإعلان عن أسماء هذه التطبيقات، حيث أكد أن الثغرة معقدة ولا يمكن حلها من قبل المستخدمين أو من شركة أبل وأن المطورين فقط من يستطيعون علاجها وسدها نهائيا.