Le chercheur en sécurité Ryan Pickren a récemment découvert et signalé à Apple un ensemble de vulnérabilités macOS qui exposaient le navigateur Safari.
4 Nouveaux Zero-Days signalés à Apple
Le hack du chercheur "a réussi à obtenir un accès non autorisé à la caméra en exploitant une série de problèmes avec iCloud Sharing et Safari 15". À la suite de la recherche, 4 des failles zero-day sont apparues – CVE-2021-30861, CVE-2021-30975, et deux sans CVE. Pickren a signalé la chaîne de vulnérabilité à Apple et a été récompensé $100,500 comme prime.
Bien que le bogue lié aux caméras macOS oblige la victime à cliquer “Ouvert” sur une popup d'un site web, il en résulte plus qu'un simple détournement d'autorisation multimédia, le chercheur a expliqué.
"Cette fois, le bogue donne à l'attaquant un accès complet à tous les sites Web jamais visités par la victime. Cela signifie qu'en plus d'allumer votre appareil photo, mon bug peut aussi pirater votre iCloud, PayPal, Facebook, Gmail, etc. comptes aussi,” Pickren a ajouté. En un mot, l'exploitation de la chaîne de problèmes pourrait permettre à un attaquant de pirater l'autorisation multimédia et d'obtenir un accès complet à tous les sites Web que la victime a visités dans Safari, y compris Gmail, iCloud, Facebook, et PayPal.
Les vulnérabilités proviennent d'une fonctionnalité appelée ShareBear, qui est un mécanisme de partage de fichiers iCloud invitant les utilisateurs à ouvrir un document partagé pour la première fois. Peu dit, le chercheur a profité du fait que l'invite n'est montrée qu'une seule fois à l'utilisateur une fois qu'il accède pour ouvrir le fichier, le chercheur a découvert la possibilité de modifier le contenu du fichier de diverses manières.
“ShareBear téléchargera et mettra à jour le fichier sur la machine de la victime sans aucune interaction ou notification de l'utilisateur. Pour l'essentiel, la victime a donné à l'attaquant la permission d'implanter un fichier polymorphe sur sa machine et la permission de le lancer à distance à tout moment,” il a dit.
l'information technique complète est disponible en le rapport initial.
La semaine dernière, Apple a publié de nouvelles versions de ses systèmes d'exploitation – iOS 15.3 et macOS Monterey 12.2, qui contenait un certain nombre de correctifs, dont deux jours zéro.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: