Reino: Input Validation and Representation

Los problemas de validación y representación de entradas están causados por metacaracteres, codificaciones alternativas y representaciones numéricas. Los problemas de seguridad surgen de entradas en las que se confía. Estos problemas incluyen: «desbordamientos de búfer», ataques de «scripts de sitios», "SQL injection" y muchas otras acciones.

Link Injection: Auto Dial

Objective-C
Swift

Abstract

El método identificado carga una página en una webview, pero no implementa ningún control para evitar ataques de marcado automático cuando se visitan sitios malintencionados.

Explanation

Salvo que el contenido de la página esté completamente bajo su control, el usuario puede hacer clic en vínculos que podrían ser usados por atacantes malintencionados para iniciar automáticamente llamadas telefónicas o de FaceTime.

Por ejemplo, es posible que su aplicación muestre una publicación en un blog, o tweet, que puede contener vínculos. El autor de la publicación o tweet que su usuario está visitando podrá usar cualquier vínculo arbitrario en sus páginas. Si sus usuarios visitan un sitio malintencionado y se les engaña u obliga de forma automática para hacer clic en un vínculo, es posible que un atacante inicie llamadas telefónicas o de FaceTime automáticas y bloquee el dispositivo durante unos segundos para evitar que el usuario cancele la llamada. Tenga en cuenta que, aunque controle la página de destino, puede que los usuarios terminen explorando sitios que no son de confianza.

Ejemplo 1: el siguiente fragmento de código usa una webview para cargar un sitio que puede contener vínculos que no son de confianza, pero no especifica un delegado capaz de validar las solicitudes iniciadas en esta webview:


    ...
    NSURL *webUrl = [[NSURL alloc] initWithString:@"https://some.site.com/"];
    NSURLRequest *webRequest = [[NSURLRequest alloc] initWithURL:webUrl];
    [_webView loadRequest:webRequest];
    ...

References

[1] Collin Mulliner iOS WebView auto dialer bug

[2] Apple UIWebViewDelegate

[3] Standards Mapping - Common Weakness Enumeration CWE ID 501

[4] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001084, CCI-002754

[5] Standards Mapping - FIPS200 SI

[6] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[7] Standards Mapping - NIST Special Publication 800-53 Revision 4 SC-3 Security Function Isolation (P1), SI-10 Information Input Validation (P1)

[8] Standards Mapping - NIST Special Publication 800-53 Revision 5 SC-3 Security Function Isolation, SI-10 Information Input Validation

[9] Standards Mapping - OWASP Mobile 2014 M8 Security Decisions Via Untrusted Inputs

[10] Standards Mapping - OWASP Mobile 2024 M4 Insufficient Input/Output Validation

[11] Standards Mapping - OWASP Mobile Application Security Verification Standard 2.0 MASVS-CODE-4, MASVS-PLATFORM-1, MASVS-PLATFORM-2

[12] Standards Mapping - OWASP Top 10 2004 A1 Unvalidated Input

[13] Standards Mapping - OWASP Top 10 2021 A04 Insecure Design

[14] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 Requirement 6.5.1

[15] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 Requirement 6.3.1.1

[16] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 4.2 - Critical Asset Protection

[17] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 4.2 - Critical Asset Protection, Control Objective B.3.1 - Terminal Software Attack Mitigation, Control Objective B.3.1.1 - Terminal Software Attack Mitigation

[18] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 4.2 - Critical Asset Protection, Control Objective B.3.1 - Terminal Software Attack Mitigation, Control Objective B.3.1.1 - Terminal Software Attack Mitigation, Control Objective C.3.2 - Web Software Attack Mitigation

[19] Standards Mapping - Security Technical Implementation Guide Version 3.1 APP3510 CAT I

[20] Standards Mapping - Security Technical Implementation Guide Version 3.4 APP3510 CAT I

[21] Standards Mapping - Security Technical Implementation Guide Version 3.5 APP3510 CAT I

[22] Standards Mapping - Security Technical Implementation Guide Version 3.6 APP3510 CAT I

[23] Standards Mapping - Security Technical Implementation Guide Version 3.7 APP3510 CAT I

[24] Standards Mapping - Security Technical Implementation Guide Version 3.9 APP3510 CAT I

[25] Standards Mapping - Security Technical Implementation Guide Version 3.10 APP3510 CAT I

[26] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[27] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[28] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[29] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[30] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[31] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[32] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[33] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[34] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[35] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[36] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[37] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[38] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-002360 CAT II, APSC-DV-002560 CAT I

[39] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-002360 CAT II, APSC-DV-002530 CAT II, APSC-DV-002560 CAT I

[40] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-002360 CAT II, APSC-DV-002530 CAT II, APSC-DV-002560 CAT I

[41] Standards Mapping - Web Application Security Consortium Version 2.00 Improper Input Handling (WASC-20)

desc.dataflow.objc.link_injection_auto_dial

Abstract

El método identificado carga una página en una webview, pero no implementa ningún control para evitar ataques de marcado automático cuando se visitan sitios malintencionados.

Explanation


    ...
    let webUrl : NSURL = NSURL(string: "https://some.site.com/")!
    let webRequest : NSURLRequest = NSURLRequest(URL: webUrl)
    webView.loadRequest(webRequest)
    ...