奥鸟视频-全球短视频资讯平台
10月1日，安全研究员 Bobby Rauch 在苹果 AirTag 产品中发现了一个存储型跨站脚本攻击漏洞 ，攻击者可以利用该漏洞诱使用户访问恶意网站。由于 Apple 没有修复该漏洞，Rauch决定披露该漏洞。
在专家描述的攻击场景中，攻击者启用 AirTag的“丢失模式”(Lost Mode)，并注入恶意payload到电话号码字段。当受害者找到设备并对其进行扫描时，会立即触发恶意payload。
AirTag，来源：technologiapc
Rauch 演示了攻击过程，利用payload将受害者重定向到伪造的 iCloud 登录页面，通过多种方式利用该漏洞，将用户重定向到提供恶意软件的网站。
专家表示，“自AirTag发布以来，大多数用户都不知道访问 https://found.apple.com 页面根本不需要身份验证。无需移动设备扫描 AirTag，攻击者可以通过台式机/笔记本电脑共享，将https://found.apple.com 链接用作钓鱼链接。 攻击者还可能通过 Find My 应用程序发起进一步的注入攻击，该应用程序是苹果‘查找我的网络’功能的一部分， 用于扫描拥有“丢失模式”的移动设备。”
苹果AirTag 是一种用来充当钥匙查找器的追踪设备，它帮助用户查找个人物品(例如钥匙、包、服装、小型电子设备、车辆)。
如果用户把东西放错位置，可以通过AirTag 丢失模式将设备标记为丢失。它将会生成一个唯一的 https://found.apple.com 页面，该页面包含 AirTag信息(即序列号、电话号码和来自物主信息)。
参考来源：https://securityaffairs.co/wordpress/122788/hacking/weaponizing-apple-airtag.html
【编辑推荐】
- 鸿蒙官方战略合作共建――HarmonyOS技术社区
- 关于三大公有云平台的网络安全 不可不了解的四个关键领域
- 美司法部：瞒报网络攻击或数据泄露事件的联邦承包商将被起诉
- 除了支付密码，网络安全隐患还有哪些
- Check Point ：不负使命，全方位守护你的网络安全
- 请立刻升级！大华摄像头2个漏洞PoC已在网上泄露
未经允许不得转载：奥鸟视频-全球短视频资讯平台 » 苹果 AirTag 存在存储型XSS漏洞，恐被攻击者利用
