7 vulnerabilidades criticas en Safari permitían controlar la cámara/micrófono de iPhone y MacBook
Apple recientemente pagó una recompensa de recompensa de U$S 75.000 al hacker Ryan Pickren, quien demostró el hack y ayudó a la compañía a reparar un total de siete nuevas vulnerabilidades antes de que cualquier atacante real pudiera aprovecharlas.
Resulta que al visitar un sitio web, no solo sitios maliciosos sino también legítimos que también cargan anuncios maliciosos sin saberlo, el uso del navegador Safari podría haber permitido que atacantes remotos accedieran en secreto a la cámara, el micrófono o la ubicación del dispositivo y, en algunos casos, también a las contraseñas guardadas. "Si el sitio web malicioso quería acceso a la cámara, todo lo que tenía que hacer era hacerse pasar por un sitio web confiable de videoconferencia como Skype o Zoom", dijo Pickren.
Las correcciones se publicaron en una serie de actualizaciones de Safari que abarca las versiones 13.0.5 (lanzadas el 28 de enero de 2020) y Safari 13.1 (publicado el 24 de marzo de 2020).
Cuando se encadenaban, tres de los defectos de Safari podrían haber permitido que sitios maliciosos se hicieran pasar por cualquier sitio legítimo en el que la víctima confía y acceda a la cámara o al micrófono al abusar de los permisos que, de otra manera, la víctima otorgaría explícitamente solo al dominio de confianza.
Pero hay excepciones a esta regla en iOS. Si bien las aplicaciones de terceros deben requerir el consentimiento explícito del usuario para acceder a la cámara, Safari puede acceder a la cámara o a la galería de fotos sin ninguna solicitud de permiso.
Específicamente, el acceso incorrecto es posible al aprovechar una cadena de exploits y múltiples fallas en la forma en que el navegador analizaba los esquemas de URL y manejaba la configuración de seguridad por sitio web. Este método solo funciona con sitios web que están actualmente abiertos.
"Una observación más importante fue que el esquema de la URL se ignora por completo", señaló Pickren. "Esto es problemático porque algunos esquemas no contienen un nombre de host significativo, como file:, javascript:, o data:."
Dicho de otra manera, Safari no podía verificar si los sitios web se adhirieron a la política del mismo origen, otorgando así acceso a un sitio diferente que no debería haber obtenido permisos en primer lugar. Como resultado, un sitio web como "https://example.com" y su contraparte maliciosa "fake: //example.com" podría terminar teniendo los mismos permisos.
Por lo tanto, era posible usar un URI "file:" (por ejemplo, file:///path/to/file/index.html) para engañar al navegador para que cambie el nombre de dominio usando JavaScript.
La investigación encontró que incluso las contraseñas de texto sin formato se podían robar de esta manera, ya que Safari utiliza el mismo enfoque para detectar sitios web en los que se debe aplicar el llenado automático de contraseñas.
Además, se pueden evitar las precauciones de descarga automática abriendo primero un sitio confiable como una ventana emergente y luego usándolo para descargar un archivo malicioso.
Del mismo modo, se puede explotar un URI "blob:" (por ejemplo, blob://skype.com) para ejecutar código arbitrario de JavaScript, utilizándolo para acceder directamente a la cámara web de la víctima sin permiso.
En total, la investigación descubrió siete vulnerabilidades 0-Day en Safari:
Fuente: THN
Resulta que al visitar un sitio web, no solo sitios maliciosos sino también legítimos que también cargan anuncios maliciosos sin saberlo, el uso del navegador Safari podría haber permitido que atacantes remotos accedieran en secreto a la cámara, el micrófono o la ubicación del dispositivo y, en algunos casos, también a las contraseñas guardadas. "Si el sitio web malicioso quería acceso a la cámara, todo lo que tenía que hacer era hacerse pasar por un sitio web confiable de videoconferencia como Skype o Zoom", dijo Pickren.
Las correcciones se publicaron en una serie de actualizaciones de Safari que abarca las versiones 13.0.5 (lanzadas el 28 de enero de 2020) y Safari 13.1 (publicado el 24 de marzo de 2020).
Cuando se encadenaban, tres de los defectos de Safari podrían haber permitido que sitios maliciosos se hicieran pasar por cualquier sitio legítimo en el que la víctima confía y acceda a la cámara o al micrófono al abusar de los permisos que, de otra manera, la víctima otorgaría explícitamente solo al dominio de confianza.
Una cadena de exploits para abusar de los permisos por sitio de Safari
El navegador Safari otorga acceso a ciertos permisos como cámara, micrófono, ubicación y más por sitio web. Esto facilita que los sitios web individuales, digamos Skype, accedan a la cámara sin pedir permiso al usuario cada vez que se inicia la aplicación.Pero hay excepciones a esta regla en iOS. Si bien las aplicaciones de terceros deben requerir el consentimiento explícito del usuario para acceder a la cámara, Safari puede acceder a la cámara o a la galería de fotos sin ninguna solicitud de permiso.
Específicamente, el acceso incorrecto es posible al aprovechar una cadena de exploits y múltiples fallas en la forma en que el navegador analizaba los esquemas de URL y manejaba la configuración de seguridad por sitio web. Este método solo funciona con sitios web que están actualmente abiertos.
"Una observación más importante fue que el esquema de la URL se ignora por completo", señaló Pickren. "Esto es problemático porque algunos esquemas no contienen un nombre de host significativo, como file:, javascript:, o data:."
Dicho de otra manera, Safari no podía verificar si los sitios web se adhirieron a la política del mismo origen, otorgando así acceso a un sitio diferente que no debería haber obtenido permisos en primer lugar. Como resultado, un sitio web como "https://example.com" y su contraparte maliciosa "fake: //example.com" podría terminar teniendo los mismos permisos.
Por lo tanto, era posible usar un URI "file:" (por ejemplo, file:///path/to/file/index.html) para engañar al navegador para que cambie el nombre de dominio usando JavaScript.
La investigación encontró que incluso las contraseñas de texto sin formato se podían robar de esta manera, ya que Safari utiliza el mismo enfoque para detectar sitios web en los que se debe aplicar el llenado automático de contraseñas.
Además, se pueden evitar las precauciones de descarga automática abriendo primero un sitio confiable como una ventana emergente y luego usándolo para descargar un archivo malicioso.
Del mismo modo, se puede explotar un URI "blob:" (por ejemplo, blob://skype.com) para ejecutar código arbitrario de JavaScript, utilizándolo para acceder directamente a la cámara web de la víctima sin permiso.
En total, la investigación descubrió siete vulnerabilidades 0-Day en Safari:
- CVE-2020-3852: un esquema de URL puede ignorarse incorrectamente al determinar el permiso multimedia para un sitio web
- CVE-2020-3864: un contexto de objeto DOM puede no haber tenido un origen de seguridad único
- CVE-2020-3865: un contexto de objeto DOM de nivel superior puede haberse considerado incorrectamente seguro
- CVE-2020-3885: la URL de un archivo puede procesarse incorrectamente
- CVE-2020-3887: el origen de una descarga puede estar asociado incorrectamente
- CVE-2020-9784: un iframe malicioso puede usar la configuración de descarga de otro sitio web
- CVE-2020-9787: un esquema de URL que contiene guión (-) y punto (.) Adyacentes se ignora incorrectamente al determinar el permiso multimedia para un sitio web
Fuente: THN
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!