专家揭示了未修复的Safari漏洞,该漏洞允许窃取本地文件

发布时间:2020-08-27 10:36:00

  一位专家披露了苹果Safari web浏览器中未修补漏洞的详细信息,攻击者可利用该漏洞从目标系统窃取文件。

  安全研究人员Pawel Wylecial在4月份发现了这个漏洞,他是安全公司的创始人红队.PL还有黑猫头鹰。今年8月,经过数月的分析,苹果告诉研究人员,它将在2021年春季解决这个问题,并要求他在那之前不要公开披露这个问题。

  然而,Wylecial选择披露他的发现,以迫使该公司早些时候解决这个问题。



  该漏洞存在于Web共享API中,该API允许用户通过电子邮件和消息传递应用程序等第三方应用程序共享来自Safari的链接。

  问题是file:scheme是允许的,当一个网站指向这样的URL时会发生意外行为。如果这样的链接传递给导航器.share功能用户文件系统中的实际文件包含在共享消息中,当用户在不知情的情况下共享时,会导致本地文件泄露。“这个问题不是很严重,因为需要用户交互,但是很容易使共享文件对用户不可见。在我们试图说服毫无戒心的用户执行某些操作时,我们想到的最接近的比较是点击劫持。”

  为了利用该问题,攻击者必须诱使受害者访问恶意网站并执行特定的操作序列。

  研究人员建立了一个恶意网站来演示如何攻击本地passwd文件或存储用户浏览历史的文件。该网站包含一个图片和一条信息,要求访问者使用同一页面上的按钮与朋友分享。单击按钮后,将要求用户选择要用于共享图像链接的应用程序。通过电子邮件共享图像,攻击者的代码,还会从目标系统附加任意文件。

  Wylecial指出,受害者必须向下滚动才能看到附件,或者在某些情况下附件的名称可能无法显示,这使得攻击更难被发现。

  该攻击适用于运行iOS 13.4.1和13.6的设备,运行Safari 13.1的macOS Mojave 10.14.16,以及运行Safari 13.1.1的macOS Catalina 10.15.5。

  【参考来源:securityaffairs.co】

最新发布
1
相约乌镇·共话安全丨天威诚信将亮相2021年世界互联网大会“互联网之光”博览会
2
《贵州省人力资源社会保障厅关于推动落实〈电子劳动合同订立指引〉有关工作的通知》政策解读
3
惊!91%的工业企业容易遭受网络攻击
4
9月1日,《电信和互联网用户个人信息保护规定》颁布8周年啦
5
来啦!沪上首份《电子劳动合同操作指引》抢先出炉
6
《中华人民共和国个人信息保护法》审议通过
7
国务院发布《关键信息基础设施安全保护条例》 9月1日起施行
8
规范“人脸识别”,为盗刷者戴上“紧箍咒”
9
谁说电信诈骗“雨你无瓜”?受骗对象90后占6成!
10
《网络安全审查办法(修订草案征求意见稿)》解读
相关推荐
国务院发布《关键信息基础设施安全保护条例》 9月1日起施行
医疗保健网络钓鱼事件导致大规模数据泄露
美国最大的丙烷供应商AmeriGas自曝发生了数据泄露
规范“人脸识别”,为盗刷者戴上“紧箍咒”
划重点!《人民法院在线诉讼规则》正在施行中
谷歌chrome90以HTTPS作为默认协议发布
谁说电信诈骗“雨你无瓜”?受骗对象90后占6成!
Cyberhouse数据泄露:130万名用户信息被免费挂到网上
加州大学遭勒索软件攻击,隐私数据大规模泄漏
5.33亿Facebook用户的电话号码在黑客论坛被泄露