High-risk security probleem Apple melden

[Dannydekr]

Ik heb een case uitgewerkt waarbij het relatief gemakkelijk is om wachtwoorden van gebruikers te verkrijgen in zowel MacOS en iOS. Wil hier nog even niet in detail treden wegens de potentiële omvang en omdat ik begreep dat Apple beloningen uitdeelt als je dit meld. Wil het dus netjes via de officiële wegen presenteren omdat het in mijn optiek niet heel lang zal duren alvorens dit "lek" misbruikt gaat worden en de gevolgen relatief groot zullen zijn.

Ik heb in principe de case uitgewerkt en het is redelijk plug/play in te zetten zonder al te veel technische kennis. Het is niet zozeer een kernel-lek of iets in die richting, maar eerder een soort illusie waar velen voor zullen vallen, omdat je het a) niet verwacht en b) het erg lijkt op iets dat Apple je presenteert.

Voor nu lekker nog even vaag dus.

Heb al een link gekregen met een e-mailadres waar ik dit kan melden. Maar zijn er andere zaken die ik moet doen om überhaupt in aanmerking te komen voor hun officiële bounty programma?

[Juup]

En dat kon je niet in je topic van 30 minuten geleden vragen?
High-risk security lek melden bij Apple?

[Dannydekr]

Juup schreef op dinsdag 23 oktober 2018 @ 14:36:
En dat kon je niet in je topic van 30 minuten geleden vragen?
High-risk security lek melden bij Apple?

Topic is hier meer op zijn plaats aangezien er hier nog enigszins expertise is op dit gebied. Andere topic zal ik sluiten.

[F_J_K]

Melden kan idd bij product-security et apple.com. Bij mijn weten (maar ik zit niet in dat wereldje) hoef je geen geld te verwachten: dat begint pas bij grotere problemen zoals toegang tot iCloud zonder het wachtwoord.

Het is altijd goed om https://www.ncsc.nl/actue...sponsible-disclosure.html te volgen.

[Foxl]

Denk dat je vooral even hier contact met ze kunt opnemen; https://support.apple.com/en-us/HT201220

Dannydekr schreef op dinsdag 23 oktober 2018 @ 14:25:
Het is niet zozeer een kernel-lek of iets in die richting, maar eerder een soort illusie waar velen voor zullen vallen, omdat je het a) niet verwacht en b) het erg lijkt op iets dat Apple je presenteert.

Wilde gok; login/ administrator prompt spoofing?