worse_query-ն թույլ է տալիս iOS-ի հավելվածներին կարդալ այլ հավելվածների ֆայլերը, իսկ Apple-ի շտկումը նշված չէ

Զրոյական օրվա խոցելիություն iOS-ի կոնտեյներների մեկուսացման մեջ

worse_query անունով iOS-ի զրոյական օրվա խոցելիությունը թույլ է տալիս չարամիտ հավելվածներին կարդալ այլ հավելվածներին պատկանող ֆայլեր։ Անվտանգության հետազոտող forcequitOS-ը 2026 թվականի նոյեմբերի 8-ին GitHub-ում հրապարակել է աշխատող proof-of-concept։ Սխալը նկարագրվել է որպես ավելի վաղ bad_query էքսպլոյթի հաջորդող։

Սովորաբար iOS-ը յուրաքանչյուր հավելված պահում է մեկուսացված sandbox-ում։ worse_query-ն չարաշահում է կոնտեյներների կառավարչի հարցումների ինտերֆեյսը՝ հավելվածների խմբի կոնտեյների ներսում սիմվոլիկ հղումների միջոցով։ Դա թույլ է տալիս չարամիտ հավելվածին առանց jailbreak-ի կամ միջուկի էքսպլոյթի կարդալ, փոփոխել կամ ջնջել այլ հավելվածների տվյալների բազաները, փաստաթղթերը, քեշերը և կոնֆիգուրացիայի ֆայլերը, ըստ Ostorlab անվտանգության ընկերության վերլուծության։

Binance-ի նախազգուշացումը և սահմանափակ շտկումը

Binance-ը նախազգուշացում է հրապարակել X-ում 2026 թվականի նոյեմբերի 10-ին։ Ընկերությունը նշել է, որ խնդիրը ազդում է iOS-ի վրա համակարգային մակարդակով, ներառյալ 26.7.1, 27.0.1 և 27.2 տարբերակները։ Ավելացվել է՝ «Սա iOS-ի մակարդակի խնդիր է, ոչ միայն Binance-ինը»։ Բորսան օգտատերերին խորհուրդ է տվել ջնջել ոչ վստահելի աղբյուրներից տեղադրված հավելվածները և թարմացնել iOS-ը մինչև վերջին պաշտոնական տարբերակը։

Apple-ը թողարկել է iOS 27.2.1 և iOS 26.7.3 թարմացումները 2026 թվականի նոյեմբերի 9-ին։ Ընկերության անվտանգության նշումներում չի հիշատակվում sandbox-ից դուրս գալու շտկում և worse_query-ին CVE նույնացուցիչ չի տրվել։ Ostorlab-ը հայտնել է, որ բացը մնում է բաց, և արտադրողի կողմից հաստատված շտկում չկա։ Քանի որ CVE չի նշանակվել, 2026 թվականի նոյեմբերի 10-ի դրությամբ սխալը չի եղել CISA-ի Known Exploited Vulnerabilities ցանկում։

Դրամապանակի ռիսկը պայմանական է

Ըստ SlowMist-ի տեղեկատվական անվտանգության ղեկավար 23pds-ի՝ սխալն ինքնին միջոցներ չի գողանում։ Գողության համար միաժամանակ անհրաժեշտ են երկու պայման՝ օգտատերը տեղադրում և գործարկում է չարամիտ հավելված App Store-ից դուրս, և տուժած դրամապանակը seed-արտահայտությունները, keystore ֆայլերը կամ WebView քեշերը պահում է բաց տեքստով՝ տեղական հասանելի պանակում։

Էքսպլոյթից ստացված գործիքները, որոնք հրապարակայնորեն տարածվում են WQ Files անունով, արդեն կարող են կարդալ, փոփոխել և ջնջել երրորդ կողմի ֆայլերը։ Հաշվետվության պահին worse_query-ի միջոցով կրիպտո գողության հաստատված դեպք չի հաղորդվել։ SlowMist-ը խորհուրդ է տվել չտեղադրել IPA ֆայլեր կողքից, պահել iOS-ը թարմացված, զգայուն տվյալները պահել միայն գաղտնագրված ձևով և ոչ վստահելի հավելված տեղադրելու դեպքում ակտիվները տեղափոխել մաքուր սարքում ստեղծված նոր դրամապանակ։

Ostorlab-ը հայտնել է, որ Apple-ը worse_query-ի համար ծանուցում կամ ուղղված տարբերակ չի հրապարակել։ Էքսպլոյթը մնում է ակտիվ, և դրա կոդը հանրությանը հասանելի է։