El investigador de seguridad Ryan Pickren descubrió recientemente e informó a Apple sobre un conjunto de vulnerabilidades de macOS que exponían el navegador Safari..
4 Nuevos días cero informados a Apple
El truco del investigador "obtuvo con éxito acceso no autorizado a la cámara al explotar una serie de problemas con iCloud Sharing y Safari 15". Como resultado de la investigación, 4 aparecieron fallas de día cero – CVE-2021-30861, CVE-2021-30975, y dos sin CVE. Pickren reportó la cadena de vulnerabilidades a Apple y fue premiado $100,500 como una recompensa.
Si bien el error relacionado con las cámaras macOS requiere que la víctima haga clic “abierto” en una ventana emergente de un sitio web, da como resultado algo más que el secuestro de permisos multimedia, el investigador explicó.
"Esta vez, el error le da al atacante acceso completo a todos los sitios web visitados por la víctima. Eso significa que además de encender tu cámara, mi error también puede hackear tu iCloud, PayPal, Facebook, Gmail, etc. cuentas también,Pickren agregó. En una palabra, explotar la cadena de problemas podría permitir a un atacante secuestrar el permiso multimedia y obtener acceso completo a todos los sitios web que la víctima ha visitado en Safari, incluido Gmail, iCloud, Facebook, y PayPal.
Las vulnerabilidades provienen de una característica llamada ShareBear, que es un mecanismo para compartir archivos de iCloud que avisa a los usuarios cuando abren un documento compartido por primera vez. Poco dicho, el investigador aprovechó que el aviso solo se muestra una vez al usuario una vez que accede a abrir el archivo, el investigador descubrió la posibilidad de alterar el contenido del archivo de varias maneras.
“ShareBear luego descargará y actualizará el archivo en la máquina de la víctima sin ninguna interacción o notificación del usuario.. En esencia, la víctima le ha dado permiso al atacante para plantar un archivo polimórfico en su máquina y el permiso para ejecutarlo de forma remota en cualquier momento,” él dijo.
divulgación técnica completa está disponible en el informe original.
La semana pasada, Apple lanzó nuevas versiones de sus sistemas operativos – iOS 15.3 y macOS Monterrey 12.2, que contenía una serie de correcciones, incluyendo dos días cero.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: