iOS 11 : une faille dans le lecteur de QR Code qui facilite le phishing

Depuis iOS 11, Apple a notamment ajouté la possibilité de lire les QR Code directement dans l'application Appareil Photo. Outre le fait que cela a plombé les apps tierces existantes, il semble que ce petit utilitaire pratique mais souvent oublié soit victime d'une faille.

Le site Infosec a joué quelques minutes avec avant de découvrir ce qui pourrait service à système de phishing facile.

 

Une faille dans iOS 11

En effet, le parser (le code qui examine l'url) se fait avoir quand on scanne une url formatée comme suit : 

https://xxx\@facebook.com:443@infosec.rm-it.de/

iOS détecte l'url et propose d'ouvrir "facebook.com" mais derrière celle qui va être affichée est https://infosec.rm-it.de.

Alors, en attendant un correctif d'Apple, faites attention à ce que vous ouvrez avec le lecteur de QR Code d'IOS 11.

 

Source