Μια ομάδα έξι ερευνητών από το Πανεπιστήμιο της Indiana, η Georgia Tech και το Πανεπιστήμιο του Πεκίνου έχουν δημοσιεύσει μια εις βάθος αναφορά εκθέτοντας μια σειρά από θέματα ευπάθειας ασφαλείας που επιτρέπουν τις sandboxed κακόβουλες εφαρμογές, εγκεκριμένες από το App Store, για να αποκτήσετε μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητα δεδομένα που είναι αποθηκευμένα σε άλλες εφαρμογές, συμπεριλαμβανομένων των iCloud κωδικών πρόσβασης και ελέγχων ταυτότητας, αποθηκευμένους κωδικούς πρόσβασης στο Google Chrome γενικά στο web και άλλα.
Οι δεκατρείς σελίδων ερευνητική εργασία “Unauthorized Cross-App Resource Access on Mac OS X and iOS” και οι λεπτομέρειες ότι οι υπηρεσίες αλληλεπιδρούν μεταξύ των εφαρμογών, που κυμαίνονται από το Keychain και WebSocket σε OS X στο σύστημα διεύθυνσης URL σε OS X και iOS, μπορούν να αξιοποιηθούν για να κλέψουν εμπιστευτικές πληροφορίες και τους κωδικούς πρόσβασης, συμπεριλαμβανομένων αυτών που αποθηκεύονται σε δημοφιλή θησαυροφυλάκια κωδικών όπως το 1Password από AgileBits.
Οι διαφορετικές cross-app και ο μηχανισμός επικοινωνίας είναι ευπαθή στο iOS και OS X, που προσδιορίζονται ως XARA αδυναμίες, περιλαμβάνουν Keychain κλοπή κωδικού πρόσβασης, IPC υποκλοπή, σύστημα πειρατείας, όπως αναφέρει το appleworldhellas.com. Οι επηρεαζόμενες εφαρμογές και υπηρεσίες περιλαμβάνουν το iCloud, το Gmail, το Google Drive, το Facebook, το Twitter, το Chrome, 1Password, το Evernote, Pushbullet, Dropbox, Instagram, WhatsApp, Pinterest, Dashlane, AnyDo και πολλά άλλα.
Ο επικεφαλής της έρευνας Luyi Xing είπε στο The Register ότι κατήγγειλε τις τρύπες αυτές ασφαλείας για την Apple τον Οκτώβριο του 2014 και συμμορφώθηκε με το αίτημα του κατασκευαστή του iPhone, να αρνηθεί τη δημοσίευση των πληροφοριών για έξι μήνες, αλλά δεν έχει πάρει ακόμη απάντηση από την εταιρεία. Οι ατέλειες επηρεάζουν χιλιάδες OS X εφαρμογές και εκατοντάδες εφαρμογές iOS και μπορεί τώρα να παραβιάζονται.