محقق امنیتی با نام کالین مولینر گفته است که بهره‌برداری از این آسیب‌پذیری بسیار ساده است و تنها به یک خط کد HTML نیاز دارد. خطراتی که کاربر را تهدید می‌کند بالا بردن شارژ برای شماره‌های پولی و یا بدتر از این اجرای حملات منع سرویس است. شبیه به اتفاقی که هفته‌ی قبل برای یک مرد آریزونایی افتاد و او بخاطر به اشتراک گذاشتن یک بهره‌برداری بر روی یوتیوب به زندان افتاد. این بهره‌برداری به کاربران اجازه می‌داد تنها با یک کلیک تماس‌های سیل‌آسایی با مرکز تلفن ۹۱۱ برقرار کنند.

مولینر گفت برنامه‌های معروف iOS همچون توییتر و لینکدین در برابر این حمله آسیب‌پذیر هستند. این محقق گفته است برنامه‌هایی همچون فیس‌بوک، واتس‌اپ، اسنپ‌چت و یِلپ را نیز بررسی کرده و هیچ یک از این برنامه‌ها در معرض خطر نبوده‌اند. مولینر هشدار داده که تنها برنامه‌های معروف iOS را بررسی کرده و به احتمال زیاد، تعداد بیشتری از برنامه‌ها در برابر این اشکال آسیب‌پذیر هستند.

مولینر گفت: «تعداد زیاد پیام‌رسان و رسانه‌ی اجتماعی دیگر وجود دارد که پتانسیل آسیب‌پذیری در برابر این اشکال را دارند. هر برنامه‌ای که در کد خود WebView را داشته باشد که از طریق آن URL بارگیری شود، پتانسیل آسیب‌پذیری دارد. بهره‌برداری از آن نیز بسیار ساده است و هرکسی می‌تواند آن را انجام دهد.»

مولینر به‌محض اینکه از وجود این اشکال آگاه شد آن را به‌طور خصوصی به توییتر اطلاع داد و در پاسخ به او گفته شد که این مشکل یک آسیب‌پذیری تکراری است. پس از این ماجرا این محقق آسیب‌پذیری را به‌طور عمومی افشاء کرد. او همچنین تلاش کرد این مسئله را به برنامه‌ی پاداش در ازای اشکال لینکدین نیز گزارش کند ولی بعداً فهمید که این یک برنامه‌ی خصوصی است و یکی از اعضای گروه امنیتی لینکدین بر روی این مسئله کار می‌کند. اپل نیز گزارش ارائه‌شده توسط مولینر را تایید کرد و گفت به این مشکل رسیدگی خواهد کرد.

برای بهره‌برداری از این آسیب‌پذیری، مهاجم صرفاً نیاز دارد تا پیوندی را برای قربانی ارسال کند. این پیوند قرار است قربانی را به صفحه‌ی وبی که کد HTML مهاجم میزبانی می‌شود، هدایت کند. این کد از طریق شماره‌گیری بر روی دستگاه، تماسی را آغاز خواهد کرد که این عمل مشابه نمونه‌ای است که مولینر در سال ۲۰۰۸ به توییتر گزارش داد. این محقق گفت می‌تواند با نمایش یک برنامه‌ی ثانویه بر روی صفحه‌ی نمایش که روی صفحه‌ی شماره‌گیری را می‌پوشاند، مانع از این شود که قربانی تماس را قطع کند. در گزارشی که روز چهارشنبه منتشر شد مولینر عنوان کرد که کد قدیمی او همچنان کار می‌کند. او گفت که تنها یک خط کد HTML شماره‌گیری را آغاز کرده و ۱۰ خط کد دیگر این حمله را مخفی می‌کند.

مولینر گفت: «من فکر می‌کردم این مشکل ۸ سال پیش حل شده است. ولی ظاهراً هنوز پابرجاست. شما برای بهره‌برداری از این آسیب‌پذیری به نرم‌افزار خاصی نیاز ندارید. تنها یک نسخه آیفون که بر روی آن توییتر یا لینکدین نصب شده است و توانایی میزبانی کد HTML برای بهره‌برداری کافی است.»

مولینر در گزارش خود آنچه که در پشت پرده‌ی این حمله می‌گذرد را اینگونه توضیح داد:

«حدس من این است که زیرسامانه‌ی IPC در جابجایی چند کیلوبایت داده‌ی URL از طریق لایه‌های مختلف برنامه با مشکلاتی مواجه است و برنامه‌ی مورد هدف از مدیریت URL های طولانی خیلی راضی نیست. من در ادامه کدها را آورده‌ام. در این کد از ترکیب تگ meta-refresh و window.location برای اجرای حمله استفاده می‌شود. این کد در ایجاد window.location سیزده ثانیه تأخیر ایجاد می‌کند تا مطمئن شود اول شماره‌گیری صورت گرفته است. این تأخیر نمی‌تواند خیلی طولانی باشد در غیر این‌صورت WebView مدیریت URL برای اجرای برنامه‌ی پیام را اجرا نخواهد کرد. در واقع شما باید زمان درست را رعایت کنید.»