Специалисты Duo Labs обнаружили уязвимость в протоколе Apple DEP

Исследователи безопасности из компании Duo Labs заявили, что обнаружили уязвимость в сервисе Apple DEP (Device Enrollment Program). Речь идет о механизме добавления новых устройств в закрытые корпоративные сети с помощью MDM (Mobile Device Management). Используя уязвимость, злоумышленники могут подключиться к сети организации и завладеть ее приватными ресурсами.

DEP и MDM

MDM позволяет настроить устройство с помощью управляющего сервера, с которого могут быть загружены приложения, настройки, сертификаты, пароли WiFi. Технология MDM позволяет администратору удаленно управлять iOS устройствами, а DEP упрощает начальную настройку, автоматизируя регистрацию девайса на сервере MDM.

Суть уязвимости

Одна из особенностей DEP — возможность добавить устройство, используя только его серийный номер. Проблема состоит в том, что завладеть номером устройства несложно, если оно уже есть в сети. Кроме того, можно подобрать серийный номер брутфорсом, так как в DEP API нет ограничения на количество запросов.

Злоумышленник получит доступ к закрытым ресурсам организации или настройкам VPN, которые компания распространяет среди своих работников. Кроме того, данные, полученные внутри сети, могут помочь организовать новые атаки.

Минимальная рекомендация — использовать авторизацию пользователей по логину и паролю.

Действия Apple

Стандартная практика в случае нахождения уязвимостей — уведомить компанию и дать 90 дней на устранение проблемы. Специалисты Duo Labs сообщили Apple об уязвимости в мае 2018 года, а открыто заявили о проблеме 27 сентября этого же года. Компания решила не исправлять уязвимость, а лишь посоветовала своим пользователям включить аутентификацию в MDM.

Напомним, что ранее сооснователь компании Digita Security обнаружил 0-day-уязвимость в macOS Mojave, с помощью которой можно получить доступ к конфиденциальным данным пользователей.