10 月 14 日消息，據(jù) 9to5 Mac 報道，上個月，安全研究員 Denis Tokarev(又名 illusionofchaos)分享了他向蘋果公司報告 3 個零日 iOS 漏洞的經(jīng)歷，并批評了蘋果公司如何反應遲緩、行動遲緩，并且沒有給報告的三個漏洞中的一個及時打上補丁。現(xiàn)在看來，蘋果已經(jīng)修復了 1 個零日漏洞，這個漏洞是 Denis Tokarev 今年早些時候發(fā)現(xiàn)的 iOS 15 系統(tǒng)中的漏洞，但蘋果沒有給他署名并表示感謝。

[[428850]]

今年 9 月，Tokarev 說，在向蘋果報告一些漏洞后等待了長達半年的時間，他決定將這些信息公開。

“十天前，我要求得到一個解釋，并在當時警告說，如果我沒有得到解釋，將公開研究。我的請求被忽略了，所以我正在做說過的事情。我的行動符合負責任披露準則(Google Project Zero 在向供應商 ZDI 報告后 90 天內(nèi)披露漏洞)。我等待的時間更長，在一個案例中長達半年。”

9 月底，Tokarev 分享說，他得到了蘋果公司的回應，說他們?nèi)栽谔幚磉@些“問題”，并對延誤表示道歉。

在他 9 月份的博文中，Tokarev 詳細介紹了一個被操縱的零日漏洞(3 個中的 1 個)，IT之家獲悉，該漏洞將允許任何從 App Store 安裝的應用程序獲得個人用戶數(shù)據(jù)，如 Apple ID 電子郵件和全名、Apple ID 授權令牌、對 Core Duet 數(shù)據(jù)庫的完整文件系統(tǒng)讀取權限，以及其他。

現(xiàn)在 Tokarev 說，他發(fā)現(xiàn)，蘋果已經(jīng)在 iOS 15.0.2 安全更新中修補了其發(fā)現(xiàn)的游戲方面的零日漏洞，但沒有歸功于他。

在 Tokarev 發(fā)現(xiàn)并報告給蘋果的第一個零日漏洞，在 iOS 14.7 正式版(7 月 19 日)中被修復時，他沒有得到獎勵，蘋果公司告訴他。

“由于處理方面的問題，你的獎勵將包括在即將到來的更新中的安全建議上。我們對造成的不便表示歉意”。

在 iOS 15.0.2 中修補了第二個漏洞，并將其歸功于“一位匿名研究人員”后，Tokarev 說，蘋果確實在六個小時內(nèi)對他做出了回應，但顯然沒有辦法解決正確引用他的問題。同時，蘋果公司仍然沒有對他發(fā)現(xiàn)的在 iOS 14.7 中被修補的 analyticsd 零日漏洞補償作出回應。

Tokarev 被要求對蘋果公司的最新郵件進行保密，他目前也遵循了這一要求。