Эксперты обнаружили уязвимость в процессе Apple MDM DEP

Исследователи безопасности компании Duo Labs обнаружили уязвимость в механизме управления устройствами Apple в закрытых корпоративных сетях.

Речь идет о механизме Mobile Device Management (MDM), широко используемом как небольшими, так и крупными компаниями. MDM позволяет развертывать все используемые на предприятии устройства Apple под одним управляющим сервером, с которого системные администраторы могут рассылать цифровые сертификаты, приложения, пароли Wi-Fi, конфигурации VPN и пр.

Обнаруженная исследователями уязвимость затрагивает Device Enrollment Program (DEP) – протокол для добавления на серверы MDM новых устройств Apple. Если говорить точнее, проблема связана с процессом аутентификации устройств и позволяет злоумышленнику добавлять на корпоративные серверы MDM устройства Apple по своему желанию.

Более того, предшествующий развертыванию процесс аутентификации может использоваться злоумышленником для похищения информации о компаниях, использующих определенные устройства Apple. Подобные сведения могут послужить подспорьем для осуществления дальнейших атак.

Вышеописанные атаки возможны, поскольку для идентификации iPhone, iPad или Mac, добавляемых на сервер MDM, Apple использует только серийный номер устройства. Исследователи уведомили производителя о проблеме еще в мае нынешнего года, однако Apple до сих пор не исправила ее.