Błąd w Safari może ukraść historię wyszukiwania i inne dane
Badacz bezpieczeństwa odkrył niebezpieczną lukę w Safari, a Apple opóźniło wydanie łatki o prawie rok.
Badacz bezpieczeństwa ujawnił dzisiaj szczegóły błędu przeglądarki Safari, który może zostać wykorzystany do wycieku lub kradzieży plików z urządzeń użytkowników.
Błąd został odkryty przez Pawła Wileciala, współzałożyciela polskiej firmy ochroniarskiej REDTEAM.PL.
Badacz pierwotnie zgłosił błąd do Apple wiosną tego roku w kwietniu, ale zdecydował się upublicznić swoje odkrycia dzisiaj po tym, jak producent systemu operacyjnego opóźnił naprawienie błędu o prawie rok, do wiosny 2021 roku.
Jak działa błąd
W poście na blogu Wylecial powiedział, że błąd jest związany z implementacją interfejsu API Safari Web Share, nowego standardu internetowego, który wprowadza interfejs API dla różnych przeglądarek do udostępniania tekstu, linków, plików i innych treści.
Badacz bezpieczeństwa twierdzi, że Safari (zarówno na iOS, jak i macOS) obsługuje udostępnianie plików przechowywanych na lokalnym dysku twardym użytkownika (poprzez schemat file:// URI).
Tak więc, gdy użytkownik udostępnia zawartość za pośrednictwem poczty elektronicznej, lokalne pliki użytkownika są dołączane do wiadomości e-mail i wysyłane do osoby atakującej wraz z treścią wiadomości e-mail. Mogą to być np. pliki z historią przeglądania lub hasłami.
Ten problem może prowadzić do sytuacji, w których złośliwe strony internetowe mogą nakłonić użytkowników do udostępnienia artykułu za pośrednictwem poczty e-mail, ale ostatecznie potajemnie pobierają pliki z urządzenia.
Aby zrozumieć, jak działa błąd, obejrzyj poniższy film demonstracyjny.
Możesz przetestować błąd na dwóch stronach demonstracyjnych, które mogą wyodrębnić pliki /etc/passwd Safar lub pliki historii przeglądarki.
Wylecial opisał błąd jako „niezbyt poważny", ponieważ interakcja użytkownika i złożona inżynieria społeczna są potrzebne, aby nakłonić użytkowników do rezygnacji z plików lokalnych; przyznał jednak również, że atakującym dość łatwo było „uczynić udostępniony plik niewidocznym dla użytkownika”.
Jednak prawdziwym problemem jest nie tylko sam błąd i to, jak łatwo lub trudno jest go wykorzystać, ale także sposób, w jaki Apple poradził sobie z raportem o błędzie.
Apple nie tylko nie wyprodukował łatki na czas po ponad czterech miesiącach, ale także próbował opóźnić opublikowanie wyników przez badacza do następnej wiosny, czyli prawie rok od pierwotnego zgłoszenia błędu. Termin ujawnienia podatności wynosi 90 dni, co jest powszechnie akceptowane w branży informatycznej.
Sytuacje takie jak ta, z którą musiał sobie radzić Wylecial, stają się obecnie coraz częstsze wśród łowców błędów w systemach iOS i macOS.
Apple, pomimo ogłoszenia specjalnego programu bug bounty, jest coraz częściej oskarżany o celowe opóźnianie błędów i próby uciszenia badaczy bezpieczeństwa.
Na przykład, kiedy Wilsial zgłosił dzisiaj swój błąd, inni badacze zgłosili podobne sytuacje, w których Apple opóźniło naprawienie zgłoszonych błędów bezpieczeństwa przez ponad rok.
Kiedy Apple ogłosiło zasady programu Security Research Device w lipcu , osławiony zespół ds .