この情報は、iPhone Maniaさんのブログで知りました。
米ラスベガスで開催中のセキュリティ会議「DEFCON 2019」で、一般的なデータベースを利用して悪意のあるコードを実行する実験が行われましたが、その際にiOSの連絡先アプリが使用されたことがわかりました。
セキュリティ企業Check Pointの研究者たちは、関係データベース管理システム「SQLite」を使って、悪意のあるコードの実行を試みました。
SQLiteを使ったデータベースの例として、iOSの連絡先アプリが使用され、アプリのクラッシュが実演されました。
今回の実演に使われたコードを応用すれば、ユーザーデータやパスワードなどが抜き取ることも可能とされています。
このSQLiteのバグは、すでに4年前に発見されていますが、いまだ修正には至っていないようです。その理由として、iOSなどの閉鎖されたシステムでは、バグを発動させるのに必要な正体不明のアプリからのデータベースへのアクセスが不可能であることが挙げられています。
しかしながら、Check Pointの研究者たちは、信頼されたアプリからもバグを発動させることに成功しているため、今後何らかの対策が講じられる必要がありそうです。
情報元:AppleInsider, Forbes
またね。
