Sekureca esploristo publikigis detalojn pri cimo de Apple HomeKit, kiu neo de servo povas kaŭzi en konektitaj iOS-aparatoj kaj daŭras post rekomencoj. La esploristo diris, ke li raportis la cimon al Apple en aŭgusto.
Sekureca esploristo Trevor Spiniolas, kiu malkovris la cimon, nomas la vundeblecon Doorlock kaj publikigas pruvon sur GitHub. La cimo estas en la HomeKit API de Apple por inteligentaj hejmaj aparatoj. La cimo okazas kiam atakantoj starigas HomeKit-aparaton kun longa nomo, proksimume 500,000 karakteroj. iOS-aparatoj, kiuj tiam konektas al tiu aparato, ĉesas respondi, eĉ post rekomenco. Kiam uzantoj restarigas iOS-aparaton al fabrikaj agordoj, sed poste ensalutu al la iCloud konto asociita kun la HomeKit-aparato, la cimo estas reeksigita.
Spiniolas raportas, ke iu ajn iOS-aplikaĵo kun aliro al Apple Home-datumoj povas renomi HomeKit-aparatojn. Tiaj programoj povas tiel ekspluati la vundeblecon. Apple enkondukis limon pri la longeco de HomeKit-nomoj en iOS 15.1 kaj, laŭ la esploristo, eble estis jam 15.0, do tio ne plu eblas ĉe lastatempe ĝisdatigitaj iOS-aparatoj. Tamen, HomeKit-aparatoj, kiuj jam estis renomitaj, povas ankoraŭ "frosti" iOS-aparatojn kurantajn la plej lastatempajn iOS-versiojn.
La esploristo emfazas, ke estas pli verŝajne, ke la vundebleco estos ekspluatata kreante Hejman reton kaj invitante homojn al ĝi per phishing-retpoŝtoj. Spiniolas diras, ke uzantoj povas defendi sin kontraŭ la cimo ignorante invitojn al nekonataj Hejmaj retoj. Uzantoj de iOS kiuj uzas HomeKit-aparatojn mem povas protekti sin parte malŝaltante 'Montri Hejmajn Kontrolojn' en Kontrolcentro.
Spiniolas diris, ke ĝi raportis la cimon al Apple la 10-an de aŭgusto. Laŭ la esploristo, Apple indikis, ke ĝi elpensos solvon "antaŭ 2022", sed pasintmonate alĝustigis tion al "komenco de 2022", post kio Spiniolas diris al Apple, ke li publikigos la cimon komence de 2022. La cimo ankoraŭ ne estis solvita de Apple. La esploristo antaŭe estis kontaktita pri cimo en macOS, kiu estis flikita en 2019.
Spiniolas opinias, ke Apple estis tro malrapida por respondi al sia komenca raporto. La esploristo dividas retpoŝtojn kun The Verge, en kiuj Apple-oficisto agnoskis la cimon kaj petis al Spiniolas ne publikigi detalojn pri Doorlock ĝis frua 2022. Apple ankoraŭ ne publike komentis la liberigon.
Apple delonge estas kritikita pro sia programo pri cimpremio. El la ĉefaj teknologiaj kompanioj, la respondeca malkaŝa politiko de Apple estas la plej juna. Kvankam Apple donas relative altajn rekompencojn, etikaj retpiratoj plendas dum jaroj pri malrapidaj korektoj kaj sciigoj, kiuj ŝajnas malaperi en nigrajn truojn. jam skribis artikolon pri tiuj problemoj pasintjare.