Mais um dia, mais uma vulnerabilidade séria de segurança é descoberta em uma plataforma móvel. Dessa vez um buraco foi encontrado no iOS, sistema da Apple que roda nos iPods Touch, iPhones e iPads da empresa. Esse bug, descoberto pelo pesquisador David Viera-Kurz, faz com que uma URL legítima seja mostrado na barra de endereços, mesmo que a página aberta no navegador seja outra completamente diferente. É o já conhecido address spoofing.
Isso permite, por exemplo, que uma página fingindo ser de um banco ou de serviço de email seja aberta e mostre o endereço legítimo, que leva o usuário a acreditar que está na página certa e insira seus dados. A falha está especificamente na maneira como o Safari trata o método JavaScript usado para abrir uma nova janela. Aparentemente, ele pode receber e mostrar uma URL na barra de endereços enquanto que outra página é aberta.
Para ver a falha em ação, visite esse link de demonstração criado por David em algum aparelho rodando a versão 5 do iOS. Para quem não tem um, as páginas exibidas serão essas aí abaixo.
