iOS 27.2.1 không nhắc worse_query, nhà nghiên cứu nói lỗi chưa được sửa

Apple(AAPL) đã phát hành iOS 27.2.1 và iPadOS 27.2.1, nhưng thông báo bảo mật không đề cập đến worse_query, vấn đề được cho là có nguy cơ làm lộ thông tin ví tiền mã hóa. Apple chưa xác nhận đã vá lỗi; thông tin hiện có chưa đủ để kết luận lỗi đã được khắc phục hay chưa.

Apple phát hành bản cập nhật ngày 9 tháng 11. Thông báo bảo mật liệt kê 9 mục sửa lỗi liên quan đến AirPlay, App Intents, Bluetooth, brotli, CoreUtils, Messages và rapportd.

Trong bài đăng trên X ngày 10 tháng 11, nhà nghiên cứu công khai forcequitOS cho rằng lỗi vẫn chưa được sửa trong iOS 27.2.1 và bản beta 1 của iOS 27.3. Đây là đánh giá của nhà nghiên cứu, cần phân biệt với xác nhận vá lỗi từ Apple.

Trước đó, TokenPost đã đưa tin thông báo bảo mật của Apple không nêu rõ lỗi này đã được khắc phục hay chưa. Phát biểu mới của forcequitOS đề cập đến tình hình sau khi bản cập nhật được phát hành.

23pds của SlowMist ban đầu cho rằng iOS 27.2.1 đã chặn được lỗ hổng, nhưng sau đó thừa nhận nhầm lẫn khi forcequitOS phản bác. TokenPost trước đó cũng đưa tin SlowMist khuyến nghị người dùng tiền mã hóa cập nhật iOS. Khuyến nghị cập nhật không đồng nghĩa với việc xác nhận một lỗ hổng cụ thể đã được khắc phục.

Thông báo của Apple cũng nêu vấn đề trong App Intents, theo đó ứng dụng có thể truy cập dữ liệu nhạy cảm của người dùng. Mục này có mã CVE-2026-113963; Apple không nói đây là cùng vấn đề với worse_query.

Kho lưu trữ của nhà nghiên cứu mô tả worse_query là một bản chứng minh khái niệm (PoC) dành cho nhà phát triển, cho thấy cách vượt qua ranh giới bảo mật vốn tách biệt quyền truy cập dữ liệu giữa các ứng dụng iOS. Theo mô tả, nếu ứng dụng độc hại chạy trên thiết bị và đáp ứng các điều kiện cần thiết, ứng dụng đó có thể truy cập tệp cục bộ của ứng dụng khác.

Kho lưu trữ cho biết cần cấu hình vùng chứa App Group cho ứng dụng và đoạn mã này không hữu ích nếu đứng riêng. Tài liệu cũng nêu rõ phương pháp này không liên quan đến kỹ thuật bẻ khóa thiết bị.

Nguy cơ lộ thông tin ví phụ thuộc vào cách cụm từ khôi phục hoặc khóa riêng được lưu trên thiết bị. Việc có thể truy cập tệp không đồng nghĩa khóa của mọi ví đều bị lộ hoặc tài sản đã bị chuyển đi.

Kho lưu trữ công khai của nhà nghiên cứu không nêu trường hợp ví cụ thể bị ảnh hưởng hay vụ đánh cắp tài sản thực tế. Nội dung được công bố tập trung vào các điều kiện để ứng dụng có thể truy cập tệp cục bộ trên thiết bị iOS.

Danh sách phiên bản được nêu khác nhau tùy tài liệu. Kho lưu trữ của nhà nghiên cứu ghi các phiên bản PoC nhắm đến là iOS 26.0–26.7.2 và 27.2, trong khi Binance liệt kê 26.7.1, 27.0.1 và 27.2 là các phiên bản có thể bị ảnh hưởng trong bài đăng trên X. Không thể gộp hai danh sách này thành một phạm vi ảnh hưởng đã được xác nhận theo cùng tiêu chí.

Trong bài đăng trên X, Binance khuyến nghị gỡ các ứng dụng không rõ nguồn gốc và cập nhật hệ điều hành cùng ứng dụng qua các kênh chính thức. Nếu nghi ngờ thiết bị bị xâm nhập, Binance hướng dẫn tạo ví mới trên một thiết bị sạch, chuyển tài sản sang ví đó rồi đăng xuất các phiên đăng nhập đang hoạt động.