金曜日(14/2/21)にAppleはiOS 7の深刻重大なバグを修復【追記有】
関連記事
- 【#twitter】アップル製品「使用禁止」に マスク氏、オープンAI導入巡り 【2024年06月11日(火)】
- アップルに巨額制裁金へ EU、800億円と英紙 【2024年02月19日(月)】
- 【#iPhone】Appleに130億円追徴 消費税免税、制度悪用見抜けず 【2022年12月27日(火)】
- EU、スマホ充電端子「USB-C」に統一へ アップルは懸念表明 【2022年06月08日(水)】
- 「USB Type-Cをスマホの標準規格に」という案がEU消費者保護委員会を通過し法制化に大きく前進 【2022年04月22日(金)】
SSL/TLSにとんでもない大穴が開いてて
じつは,SSLがうまく動いてなかった模様(滝汗
平文通信かよっ!(GRB爆
っつうか,余計なgoto文が挟まってて,SSLの処理が動いてなかったと読めるが
いや,goto文の乱用は,実装屋,素人じゃろて?
オイラでも,ネストの深いループから抜ける時ぐらいしか使わんし
っつうか,オラはネストの深いループなんか作らんし
(まぁ,3重ループまでじゃな.3重ループなんか書いたら,体中痒くなりながらの実装じゃじ:爆)
う~む,まだまだ見えてないとんでもない大穴がありそうな予感>iPhone/iOS
【追記】
該当箇所のソースを見っけ
あまりにも酷すぎて,吐きそうになったじぃ~
確実にif文1個消した時,対になってるgoto文の消し忘れじゃな(苦笑
static OSStatus
SSLVerifySignedServerKeyExchange(SSLContext *ctx, bool isRsa, SSLBuffer signedParams,
uint8_t *signature, UInt16 signatureLen)
{
OSStatus err;
…
if ((err = SSLHashSHA1.update(&hashCtx, &serverRandom)) != 0)
goto fail;
if ((err = SSLHashSHA1.update(&hashCtx, &signedParams)) != 0)
goto fail;
goto fail; //<-- これ
if ((err = SSLHashSHA1.final(&hashCtx, &hashOut)) != 0)
goto fail;
...
fail:
SSLFreeBuffer(&signedHashes);
SSLFreeBuffer(&hashCtx);
return err;
}
[/c]
メンテしたのは素人かっ!(爆
これ,バイナリから生成したコードじゃろか?
生コードだったら,酷すぎ
if文には,必ず中括弧をつけろ,と
弊社にこんな書き方で納品されてきたら,突っ返すじぃ~
中括弧なしは,バグの元じゃぞな!
金曜日にAppleはiOS 7の深刻重大なバグを修復
昨日(米国時間2/21)Appleは、iOS 7のセキュリティ関連のバグを直したと発表した。今日(米国時間2/22)になってWebのセキュリティの専門家たちが、パッチを解析してバグの正体を突き止めた。それはどうやら、相当深刻なバグのようだ。 Wired誌に、そのおそろしい詳細が載っている: “Appleの昨日の発表があまりに簡潔なので、インターネットの暗号に関する高名な専門家たちは、そのバグの性質について訝(いぶか)った。バグの詳細を非公開で調べ始めた彼らは、いろいろ分かってくるにつれて、仰天のあまり沈黙してしまった。ジョンズホプキンズ大学の暗号学の教授Matthew GreenはTwitterのツイートで、‘Appleのバグの正体が分かった。相当ひどいバグだ’、と述べた”。 Wiredによると、Appleの史上最大のセキュリティ過失と言われるかもしれないこのバグの正体は、認証のコード中にあった要らざるgoto文だった。その余計な1行のおかげで、認証プロトコルのその後の部分を完全にバイパスしてしまうことができるのだ。 (以下略) |
techcrunch.com |
コメント
【#異星人 発見!】異星人から謎の暗号メールを受け取った!解読不能ヤバス【シレペヒキク】
タッパーウェアが破産申請を計画、事業てこ入れ策つまずく-関係者
電子レンジが不調になったヤバス
【#地震】霧島山で有感地震 生駒高原のあたりか?(24/9/6)
奄美大島のマングース 環境省が根絶宣言
生ぬるい西風が吹いてるのぉ.大陸気団の南下はまだかっ!
【#台風】台風10号:台風に関する特別警報 発令予告が出た!鹿児島,宮崎(24/8/28)
【#台風】#台風10号:屋久島に線状降水帯が発生(24/8/28)