德国联邦资讯安全办公室要苹果用户尽快修补邮件漏洞

德国联邦资讯安全办公室（BSI）近日向iPhone及iPad用户提出警告，表示iOS与iPadOS内建的邮件服务中含有两个重大的安全漏洞，骇客只要寄送一封制造的邮件，就能读取、变更或删除用户私人信件，而且已被骇客开采。不过，苹果已于5月20日释出的iOS 12.4.7、iOS 13.5与iPadOS 13.5，修补了这两个漏洞。

苹果在5月20日释出的iOS 13.5，除了新增暴露通知API（Exposure Notification API），并改善戴口罩的人脸辨识机制之外，也修补了众多的安全漏洞，相关漏洞同样波及iPadOS。

此次所修补的漏洞中，只有两个与邮件程式有关，它们分别是CVE-2020-9819与CVE-2020-9818，皆是由美国的资安业者ZecOps所揭露。

其实ZecOps早在今年4月，就对外揭露了这两个漏洞。ZecOps是在定期的iOS数位鉴识及意外调查中发现，有些可疑的事件影响iOS内建的邮件程式，并可追溯到2018年1月，进而侦测到iOS与iPadOS的邮件都含有安全漏洞，而且已被开采。

研究人员指出，这两个漏洞被用来执行目标式攻击，锁定的对象包括北美财星五百大组织的特定人士、日本一家电信业者的高阶主管、德国一名知名人士、沙特阿拉伯及以色列的安全服务供应商、一名欧洲记者，以及一家瑞士企业的高阶主管。由于骇客所使用的邮件中都包含了特定的字串，使得ZecOps相信这是某些国家级骇客，向第三方研究人员所买来的攻击程式。

ZecOps说，这两个漏洞应该是自2012年9月苹果发表iOS 6以来，就存在至今。

根据苹果的描述，CVE-2020-9819为一内存损耗问题，使得该程式在处理恶意的邮件时会导致堆积损毁，CVE-2020-9818则是个越界写入漏洞，在处理恶意邮件时，可能造成非预期的内存修改或程式终止。

ZecOps则认为，CVE-2020-9819与CVE-2020-9818，都是因为无法正确处理系统呼叫的返回值而造成的，而且它们出现在处理邮件的程序上，因此就算使用者未能下载完整的邮件，骇客依旧能完成攻击。相关的攻击可能会让邮件程式变慢、非预期的关闭，还能删除及窜改使用者的邮件。

对于在苹果修补前就公布了漏洞资讯，ZecOps解释，光是这两个漏洞并不会对iOS用户造成伤害，骇客需要借由其它的漏洞才能完全控制受害装置；而且这两个漏洞已因苹果的iOS测试版而曝光，骇客已经得知漏洞的存取；再加上已经出现相关的攻击行动，公开细节将可督促苹果尽快修补。