Verzija aplikacije Linkedin iOS 9.11.8592.4 Ranjiva na iscrpljenost CPU-a

LinkedIn. Lynda

Daljinski eksplozivna ranjivost za koju je utvrđeno da utječe na 600 milijuna korisnika WhatsAppa u 2014. godini, pa čak i više i više i dalje od tada uzrokujući rušenja sustava na daljinu, sada se pojavila u novom obliku. Utvrđeno je da verzija mobilne aplikacije LinkedIn verzije 9.11 i starija za iOS sadrži ranjivost iscrpljenosti CPU resursa koju može pokrenuti unos koji je dostavio korisnik.

Ranjivost proizlazi iz činjenice da filtar mobilne aplikacije koji unose korisnici ne može otkriti zlonamjerni ili problematični unos. Kada korisnik pošalje takvu poruku drugom korisniku u aplikaciji LinkedIn, nakon pregleda poruke skripta se čita, a pregledani kôd traži CPU remont koji uzrokuje pad iscrpljenosti.

Utvrđeno je da ranjivost utječe na iPhoneov operativni sustav verzije 11.4.1, prvenstveno ciljajući iPhone 7 mobilne uređaje. Kada se zlonamjerni kod pročita na ovom sustavu, uzrokuje 48 sekundi CPU-a tijekom 62 sekunde, što rezultira 93% CPU-ovog prosjeka. Ovaj prosjek CPU-a daleko je iznad 80% upotrebe CPU-a odsječene tijekom 60 sekundi što uzrokuje iscrpljenost sustava i posljedični pad.

Kao što se vidi kod WhatsAppa, nakon što se kôd ukloni iz najnovijeg retka poruke, pad CPU-a prestaje. Čini se da je to slučaj i u LinkedInovoj mobilnoj aplikaciji. Da biste spriječili pad sustava pri svakom pokušaju ponovnog pokretanja aplikacije, morate zamoliti korisnika koji vam je poslao neispravan kôd da vam pošalje još jednu običnu poruku kako bi pad prestao. Ovo nije najlakša tehnika ublažavanja kada primate poruke od napadača koji namjerno žele iskoristiti ovu ranjivost da vam naprave probleme.

The sljedeća skripta stvorio Juan Sacco generira kod koji uzrokuje iscrpljenost procesora.

Ova se ranjivost upravo pojavila i LinkedIn je to primijetio. Tvrtka još nije objavila ažuriranje, zakrpu ili savjetodavnu informaciju o detaljima ublažavanja.