...
Truques de vida, dicas úteis, recomendações. Artigos para homens e mulheres. Escrevemos sobre tecnologia e sobre tudo o que é interessante.

Bug no Safari pode roubar histórico de pesquisa e outros dados

5

Um pesquisador de segurança descobriu uma vulnerabilidade perigosa no Safari e a Apple atrasou o lançamento do patch em quase um ano.

Um pesquisador de segurança divulgou hoje detalhes de um bug do navegador Safari que pode ser usado para vazar ou roubar arquivos dos dispositivos dos usuários.

O bug foi descoberto por Paweł Wilecial, co-fundador da empresa de segurança polonesa REDTEAM.PL.

O pesquisador relatou originalmente o bug à Apple no início desta primavera em abril, mas o pesquisador decidiu tornar suas descobertas públicas hoje depois que o fabricante do sistema operacional atrasou a correção do bug por quase um ano, até a primavera de 2021.

Como o bug funciona

Em uma postagem no blog, Wylecial disse que o bug está relacionado à implementação da Safari Web Share API, um novo padrão da web que introduz uma API cross-browser para compartilhamento de texto, links, arquivos e outros conteúdos.

O pesquisador de segurança diz que o Safari (no iOS e no macOS) oferece suporte ao compartilhamento de arquivos armazenados no disco rígido local do usuário (através do esquema file:// URI).

Assim, quando um usuário compartilha conteúdo por e-mail, os arquivos locais do usuário são anexados ao e-mail e enviados ao invasor junto com o conteúdo do e-mail. Podem ser, por exemplo, arquivos com histórico de navegação ou senhas.

Esse problema pode levar a situações em que páginas da Web maliciosas podem induzir os usuários a compartilhar um artigo por e-mail, mas acabam baixando arquivos secretamente do dispositivo.

Para entender como o bug funciona, assista ao vídeo de demonstração abaixo.

Você pode testar o bug em duas páginas de demonstração que podem extrair os arquivos /etc/passwd do Safar ou arquivos de histórico do navegador.

Wylecial descreveu o bug como "não muito sério", já que a interação do usuário e a engenharia social complexa são necessárias para induzir os usuários a desistir de arquivos locais; no entanto, ele também reconheceu que era bastante fácil para os invasores "tornar um arquivo compartilhado invisível para o usuário".

No entanto, o verdadeiro problema aqui não é apenas o bug em si e quão fácil ou difícil é explorá-lo, mas como a Apple lidou com o relatório do bug.

A Apple não apenas falhou em produzir um patch a tempo depois de mais de quatro meses, mas também tentou atrasar o pesquisador de publicar seus resultados até a próxima primavera, quase um ano a partir do momento em que o bug foi originalmente relatado. O prazo para divulgação de vulnerabilidades é de 90 dias, o que é amplamente aceito na indústria de tecnologia da informação.

Situações como a que Wylecial teve que lidar estão se tornando mais comuns entre os caçadores de bugs do iOS e macOS atualmente.

A Apple, apesar de anunciar um programa dedicado de recompensas por bugs, é cada vez mais acusada de atrasar deliberadamente os bugs e tentar silenciar os pesquisadores de segurança.

Por exemplo, quando Wilsial relatou seu bug hoje, outros pesquisadores relataram situações semelhantes em que a Apple atrasou a correção dos bugs de segurança relatados por mais de um ano.

Quando a Apple anunciou as regras para o programa Security Research Device em julho, a alardeada equipe de segurança do Project Zero se recusou a participar, dizendo que as regras do programa foram escritas especificamente para limitar a divulgação pública e silenciar os pesquisadores de segurança sobre suas descobertas.

Este site usa cookies para melhorar sua experiência. Presumiremos que você está ok com isso, mas você pode cancelar, se desejar. Aceitar Consulte Mais informação