Tutkija löytää Safari paljastaa henkilökohtaiset tiedot

Safarin selaimessa ominaisuus, joka on suunniteltu helpottamaan lomakkeiden täyttämistä, saattaa väärinkäyttää hakkerit keräämään henkilökohtaisia ​​tietoja turvallisuustutkijan mukaan.

Safarin automaattinen täyttötoiminto on oletusarvoisesti käytössä ja täyttää tiedot kuten etu- ja sukunimi, työpaikka, kaupunki, valtio ja sähköpostiosoite, kun se tunnistaa lomakkeen, kirjoitti blogissaan Jeremiah Grossman, CTO WhiteHat Security. Nämä tiedot ovat peräisin Safarin paikallisesta käyttöjärjestelmän osoitekirjasta.

Ominaisuus poistaa tiedot lomakkeeseen, vaikka henkilö ei ole antanut mitään tietyn sivuston tietoja, mikä avaa hakkereille mahdollisuuden. lukeminen: Haittaohjelmien poistaminen Windows-tietokoneelta]

"Kaikki haittaohjelmat, joiden avulla Safarilla on osoitekirja-korttitiedostojen salaaminen, luo dynaamisesti tekstikenttiä edellä mainittujen nimien avulla, todennäköisesti näkymättömästi, ja simuloida AZ keystroke-tapahtumia JavaScriptin avulla ", Grossman kirjoitti. "Kun tiedot on täytetty, joka on AutoFill'ed, sitä voidaan käyttää ja lähettää hyökkääjälle."

Hyökkäyksen todistuskoodi on julkaistu SecTheoryn toimitusjohtajan Robert Hansenin blogissa. lähetti myös videon hyökkäyksestään hänen blogisssa.

Joitakin syitä, jotka alkavat numeroilla, eivät kerro tekstikenttiä, eikä niitä voi saada. "Tällaisia ​​hyökkäyksiä voitaisiin kuitenkin helposti ja halvalla jakaa massaspektriin Grossman kirjoitti.

"Itse asiassa ei ole mitään takeita siitä, että tämä ei ole vielä tapahtunut", hän kirjoitti. "Mitä? on turvallista sanoa, että tämä haavoittuvuus on niin aivokuolluton yksinkertainen, että oletin, että joku muu on pitänyt julkisesti ilmoittaa siitä jo, mutta tyhjentävät haut ja pyytävät useilta kollegoilta puuttuu mitään. "

Grossman ilmoitti ongelmasta Applelle 17. kesäkuuta, mutta hänellä ei vielä ole henkilökohtaista vastausta.

Välttääksesi tämän on Käyttäjä voi yksinkertaisesti poistaa AutoFill-lomakkeiden käytöstä, hän kirjoitti.

Lähetä uutisvihjeitä ja kommentteja osoitteeseen [email protected]