Уязвимость в голосовом помощнике Siri позволяла записывать разговоры с ней. Об этом сообщает xaker.ru.

Согласно источнику, уязвимость CVE-2022-32946 была обнаружена в августе текущего года. Разработчик Гильерме Рэмбо (автор приложения AirBuddy), рассказал о своей находке:

Иными словами, недобросовестному девелоперу достаточно настроить доступ к Bluetooth в своем шпионском iOS-приложении, чтобы получить записи любых разговоров пользователя с Siri или надиктованных сообщений. Дыра настолько опасна, что позволяла записывать аудио с наушников просто в фоновом режиме — дальнейшую судьбу таких записей, разумеется, никто не контролировал.

Вред от подслушивания разговоров пользователя вряд ли можно недооценить. Разработчик-мошенник может узнать из, скажем, надиктованных сообщений жертвы немало опасных подробностей о ней: сколько денег у нее на карте, где она живет и когда отсутствует дома и так далее. Сведения личного характера могут использоваться для социальной инженерии и шантажа.

Любопытно, что даже новые меры приватности в iOS не помогли бы обычному владельцу iPhone вычислить шпионский софт. Во время использования микрофона сторонним приложением, задействующим эту уязвимость, в «шторке» отображалось не название этого приложения, а «Siri и Диктовка». То есть всё выглядело так, будто микрофон используют системные, а не сторонние утилиты. Это усыпляло бдительность пользователя.

Сообщается, что Apple исправила эту беду в iOS 16.1 и macOS Ventura, а также в минорных патчах безопасности для macOS Monterey и Big Sur.