研究员IllusionOfChaos称，早在今年上半年，苹果就被告知4个影响操作系统的安全漏洞，但截至上周iOS15.0发布时，苹果仅修补了其中的1个漏洞，并且从未提及错误查找器IllusionOfChaos。苹果的态度让研究人员感到失望，上周公布了最新iOS15中的四个安全漏洞。自称IllusionOfChaos的研究人员表示，他在3月至5月期间向苹果通报了4个漏洞。根据业界的挖矿奖励制度，各大软件公司不仅要在确认漏洞后在合理时间内修复漏洞，还要在安全公告中公开表彰响应漏洞的研究人员的贡献，并提供相应的奖金。然而，研究人员对苹果公司的态度感到失望。在这四个漏洞中，苹果公司修补了其中一个，但从头到尾都没有在安全公告中提及他。更严重的是，其他三个漏洞都没有被修补，即使是最新的iOS15也仍然存在这些漏洞。修补后的漏洞称为Analyticsd，允许用户安装的应用程序访问iPhone或iPad上的私人iOS分析信息。这些分析信息位于“设置”>“隐私”>“分析与改进”>“分析信息”下。该漏洞允许App未经同意访问，但苹果已于7月更新iOS/iPadOS14.7版本解决。其实你在公告中是看不到漏洞的描述的，因为苹果根本就没有写，当然也没有提他的名字。在他上门理论后，苹果表示这是一个处理缺陷，会在下个版本的更新中加入这些信息。然而，包括9月中旬的iOS14.8和上周的iOS15.0在内的苹果连续三次安全更新都没有兑现承诺。其他三个漏洞还没有被修补，研究人员认为他已经给了苹果足够的时间，所以他决定将它们公布出来。他说，他等待的时间远远超过业界对安全漏洞的沉默期，无论是谷歌的90天还是ZDI的120天。3个未修复的漏洞分别为：Gamed0-Day，允许从AppleStore下载的应用程序未经授权访问AppleID电子邮件、完整帐户名、验证凭据、读取CoreDuet共享联系人数据库中的信息、快速拨号数据库、联系人数据库等。NehelperEnumerated0-day漏洞允许应用程序通过捆绑ID确定设备上安装了哪些其他应用程序。NehelperWi-Fi0-day允许可以访问位置信息的应用程序直接使用Wi-Fi网络。其中，Gamed0-Day漏洞较为严重。IllusionOfChaos认为，根据Apple的漏洞赏金标准，这应该是一个价值100,000美元的漏洞。iOS15已经修补了一些可以访问信息的缺陷。但为苹果开发AppleWatch键盘应用FlickType的研究员KostaEleftheriou证实，Gamed0-day漏洞仍然影响iOS14.8和iOS15。TheRegister援引安全专家PatrickWardle的话说，尽管这些漏洞很严重，它们不太可能发生，因为具有不当访问意图的应用程序在上架AppStore之前应由Apple进行审查。更大的问题是，这意味着苹果可能在知道存在bug的情况下发布了iOS15。苹果周日联系了这名研究人员，对延误表示歉意，并感谢他的贡献，并表示公司正在努力解决这些漏洞。媒体认为，苹果应该会在近期发布iOS15的更新版本。Apple发布了iOS15.1beta版本，以修复上周iOS15开放下载后的几个小时内的一些功能缺陷。
