Linkedin iOS-applikationsversion 9.11.8592.4 Sårbar for CPU-udmattelse

LinkedIn. Lynda

En fjernudnyttelig sårbarhed, der viste sig at påvirke 600 millioner WhatsApp-brugere i 2014 og endnu mere slukket siden da ved at forårsage eksternt initierede systemnedbrud, er nu kommet igen i en ny form. LinkedIn mobile applikationsversioner 9.11 og ældre til iOS har vist sig at indeholde en CPU-ressourceudtømningssårbarhed, der kan udløses af input fra brugeren.

Sårbarheden skyldes, at mobilapplikationens filter af brugerleveret input ikke er i stand til at opdage ondsindet eller besværlig input. Når en bruger sender en sådan besked til en anden bruger på LinkedIn-applikationen, læses scriptet, når man ser meddelelsen, og den viste kode beder om en CPU-eftersyn, der forårsager et udmattelsesnedbrud.

Det konstateres, at sårbarheden påvirker iPhones operativsystemversion 11.4.1, primært rettet mod iPhone 7 mobile enheder. Når den ondsindede kode læses på dette system, forårsager det en 48 sekunders CPU-tid i løbet af 62 sekunder, hvilket medfører et 93% CPU-gennemsnit. Dette CPU-gennemsnit er langt over 80% CPU-forbrug, der er afskåret i 60 sekunder, hvilket forårsager systemudmattelse og det deraf følgende nedbrud.

Som det ses med WhatsApp, ophører CPU-nedbruddet, når koden er fjernet fra den seneste meddelelseslinje. Dette ser ud til at være tilfældet også i LinkedIn's mobilapplikation. For at forhindre systemet i at gå ned, hver gang du prøver at genstarte applikationen, skal du bede den bruger, der har sendt dig den defekte kode, om at sende dig en anden almindelig besked, så nedbruddet stopper. Dette er ikke den nemmeste afbødningsteknik, når du modtager meddelelser fra angribere, der bevidst søger at udnytte denne sårbarhed for at give dig problemer.

Det følgende script oprettet af Juan Sacco genererer CPU-udmattelse, der forårsager kode.

Denne sårbarhed er netop opstået, og LinkedIn har bemærket det. En opdatering, patch eller afbødning, der indeholder en vejledning, er ikke frigivet af firmaet endnu.