4006-555-883

专家揭示了未修复的Safari漏洞,该漏洞允许窃取本地文件

发布时间:2020-08-27 10:36:00

  一位专家披露了苹果Safari web浏览器中未修补漏洞的详细信息,攻击者可利用该漏洞从目标系统窃取文件。

  安全研究人员Pawel Wylecial在4月份发现了这个漏洞,他是安全公司的创始人红队.PL还有黑猫头鹰。今年8月,经过数月的分析,苹果告诉研究人员,它将在2021年春季解决这个问题,并要求他在那之前不要公开披露这个问题。

  然而,Wylecial选择披露他的发现,以迫使该公司早些时候解决这个问题。



  该漏洞存在于Web共享API中,该API允许用户通过电子邮件和消息传递应用程序等第三方应用程序共享来自Safari的链接。

  问题是file:scheme是允许的,当一个网站指向这样的URL时会发生意外行为。如果这样的链接传递给导航器.share功能用户文件系统中的实际文件包含在共享消息中,当用户在不知情的情况下共享时,会导致本地文件泄露。“这个问题不是很严重,因为需要用户交互,但是很容易使共享文件对用户不可见。在我们试图说服毫无戒心的用户执行某些操作时,我们想到的最接近的比较是点击劫持。”

  为了利用该问题,攻击者必须诱使受害者访问恶意网站并执行特定的操作序列。

  研究人员建立了一个恶意网站来演示如何攻击本地passwd文件或存储用户浏览历史的文件。该网站包含一个图片和一条信息,要求访问者使用同一页面上的按钮与朋友分享。单击按钮后,将要求用户选择要用于共享图像链接的应用程序。通过电子邮件共享图像,攻击者的代码,还会从目标系统附加任意文件。

  Wylecial指出,受害者必须向下滚动才能看到附件,或者在某些情况下附件的名称可能无法显示,这使得攻击更难被发现。

  该攻击适用于运行iOS 13.4.1和13.6的设备,运行Safari 13.1的macOS Mojave 10.14.16,以及运行Safari 13.1.1的macOS Catalina 10.15.5。

  【参考来源:securityaffairs.co】

最新发布
1
反转不断的“凤印案” 从《大唐狄公案》看传统印章的管理困局
2
各地文旅局“卷”疯了!电子合同服务助力旅游经济快速上分!
3
《铁路关键信息基础设施安全保护管理办法》发布,双算法证书方案让数据传输更加安全可信
4
共创共赢!铜锁项目获评2023开源创新榜“优秀开源项目”
5
行业用户认可|天威诚信获评“2023用户推荐网络安全厂商品牌”
6
网信办出手处置诈骗网站,企业如何防范网络钓鱼威胁?
7
商务部等12部门联合印发重磅文件,SSL数据安全保障服务价值凸显
8
关于印发《国家密码科学基金管理办法(试行)》的通知
9
供应链采购平台建设难?可能是你没用过这套解决方案
10
人社部印发《数字人社建设行动方案》,数字赋能跑出人社服务“加速度”
相关推荐
商务部等12部门联合印发重磅文件,SSL数据安全保障服务价值凸显
反转不断的“凤印案” 从《大唐狄公案》看传统印章的管理困局
网信办出手处置诈骗网站,企业如何防范网络钓鱼威胁?
各地文旅局“卷”疯了!电子合同服务助力旅游经济快速上分!
共创共赢!铜锁项目获评2023开源创新榜“优秀开源项目”
关于印发《国家密码科学基金管理办法(试行)》的通知
行业用户认可|天威诚信获评“2023用户推荐网络安全厂商品牌”
《铁路关键信息基础设施安全保护管理办法》发布,双算法证书方案让数据传输更加安全可信