En säkerhetsforskare har upptäckt ett fel i IOS WebView som gör det möjligt för en angripare att tvinga en iPhone att ringa något nummer och låsa telefonens gränssnitt så att det utgående samtalet inte kan avbrytas.

Problemet har tagits upp av Collin Mulliner, som stött på en liknande bugg i Safari-webbläsaren 2008 som sedan fixades i iOS 3-uppdateringen. Mulliner bestämde sig för att se tillbaka i buggan, sade han efter att ha läst en nyhetsartikel om en tonåring som greps för att uppenbarligen oavsiktligt utnyttja en liknande bugg för att översvämma 911 call centers över USA med samtal.

Mulliner fann att buggen är något annorlunda än den han upptäckte 2008 men tror att han har upptäckt hur det fungerar.

Apps bör fråga först

Felet initieras först när en iPhone-användare klickar på en skadlig länk som visas i appar som Twitter och LinkedIn, som använder iOS WebView-komponenten för att öppna en webbsida på appen istället för en extern webbläsare som Safari eller Chrome.

Länken tar användaren till en webbsida som tvingar iPhone att ringa upp det inbäddade numret där och sidan upprepas, fryser enheten och gör det omöjligt att avbryta samtalet.

Anledningen till att iPhone tvingas ringa numret beror på att länkarna i dessa appar öppnas av WebView, vilket automatiskt ringer inbäddade nummer, till skillnad från Safari som löste den tidigare iterationen av buggan genom att fråga användaren via en popup om de vill slå ett nummer först.

Utnyttjande av buggen till DoS 911 call centers är verkligen hemskt, men Mulliner varnar inte det enda möjliga användandet av det, vilket tyder på att sådana länkar också kan ta användarna till webbsidor inbäddade med dyra 900 nummer som skulle tillåta angripare att tjäna pengar från offer.

Han teorierar även att en stalker kunde skicka en länk inbäddad med sitt eget nummer till sitt offer för att tvinga ett samtal som då skulle ge stalkeren med offrets nummer.

I ett blogginlägg säger Mulliner att han har rapporterat buggen till Apple men har också kontaktat LinkedIn och Twitter med sina resultat eftersom han tror att apputvecklare i alla fall kan granska deras användning av WebView tills Apple kan ändra sitt standardbeteende. Vi hoppas att de utfärdar en patch snabbt, det låter inte som det här molnet har några silverfodral.

Mulliner har lagt upp en video av buggen i aktion, som du kan titta nedan:

  • Dessa är de bästa iPhone 7-erbjudanden som finns tillgängliga just nu