企业管理的IOS设备中的漏洞使业务数据处于风险

该缺陷是由移动安全公司Appthority的研究人员发现的，并通过移动设备管理（MDM）或企业移动管理（EEM）产品影响部署在iOS设备上的应用程序。这些产品允许管理员自动将应用程序，配置设置和数据访问规则推送到企业移动设备。

在将新iOS设备带入使用移动管理系统的公司网络之前，会为其创建MDM帐户并安装了客户端应用程序。 MDM客户端用于安装企业应用程序并强制执行公司数据和电子邮件的访问策略。

[更多阅读：如何从Windows PC中删除恶意软件]

根据Appthority的说法，当企业应用程序部署在此方式，它们的敏感配置设置（可包括内部服务器URL，用户名，密码和访问令牌）存储在“世界可读”位置。

因此，安装在同一设备上的任何其他应用程序都可以读取该信息，违反标准iOS应用程序沙箱，这些应用程序沙箱应该阻止应用程序读取彼此的数据。

攻击者可以创建一个流氓应用程序，旨在从使用托管配置的应用程序读取敏感信息，并可以通过iTunes商店或通过Appthority的研究人员在一篇博客文章中称，这是基于电子邮件的鱼叉式网络钓鱼攻击。他们表示，为了增加影响企业用户的机会，攻击者可以将流氓应用设计为生产力工具。

可能很难检测到流氓应用的恶意行为，因为它只是众多合法应用之一访问存储托管配置的目录

对企业的影响取决于通过托管应用程序配置可能暴露的信息种类。 Appthority扫描了数百万个应用程序，发现大多数具有易受攻击的配置数据的应用程序都是MDM客户端，允许访问工作电子邮件和商业文档的公司应用程序，以及安全在内部网络上使用的浏览器。

“我们还发现了医疗行业，让医生可以访问患者的数据和记录，“研究人员表示，”他们的妥协可能会导致违反健康保险流通和责任法案（HIPAA）“，

几乎一半的已确定应用程序的管理设置包含根据Appthority的说法，包括用户名，密码和访问令牌在内的凭据占67％，包含识别服务器的信息

Apple修复了8月13日发布的iOS 8.4.1中的漏洞，通过加强托管偏好设置的应用的沙盒配置文件。然而，根据之前的扫描结果，Appthority确定多达70％的iOS设备在发布后几个月内都不会更新到最新的iOS版本。