托卡列夫在一篇博文中说,他在3月10日至5月4日期间向苹果公司报告了四个缺陷,虽然一个问题在iOS 14.7中得到了修补,但其他三个仍然处于活跃状态。
这位安全研究员周五在Twitter上报告说,这三个问题在最新的iOS 15.0.1中仍然存在。
他自己承认,剩下的零日漏洞并不紧急,其中一个涉及到一个错误,黑客必须以某种方式骗过苹果审查人员允许其进入应用程序商店,才可以使恶意制作的应用程序读取用户的苹果ID信息。
不过,苹果公司对通过"漏洞赏金计划"报告的这些漏洞的处理方式让托卡列夫感到很不满意,他在9月底写了一篇博文,详细介绍了他与科技巨头团队的互动。据这位研究人员说,苹果公司没有列出它在iOS 14.7中修补的安全问题,也没有在随后的安全页面更新中添加有关该缺陷的信息。
illusionofchaos当时写道:"当我面对他们时,他们向我道歉,向我保证这是由于处理问题而发生的,并承诺在下次更新的安全内容页面上列出它。从那时起,有三次类似的情况,他们每次都违背了他们的承诺。"
苹果公司看到了托卡雷夫的博文,并再次表示歉意。该公司表示,截至9月27日,其团队仍在调查其余三个漏洞。托卡列夫上周公开了这些缺陷,以符合道德黑客批评苹果公司的Bug Bounty计划和该公司对公共安全研究人员的一般处理方式,称其缺乏沟通、在赏金支付上也有问题。
本周早些时候,研究人员Bobby Rauch公开披露了一个AirTag漏洞,此前苹果公司没有回答关于该漏洞的基本问题,也没有回答Rauch是否会因发现该漏洞而得到奖励。该漏洞允许攻击者插入代码,当设备在丢失模式下被扫描时,可以将用户重定向到一个恶意的网页上。