Start Apple Sicherheitsforscher entdeckt Schwachstellen in iOS und macOS, die ausgenutzt werden könnten, um...

Sicherheitsforscher entdeckt Schwachstellen in iOS und macOS, die ausgenutzt werden könnten, um Webcams zu hacken

5
0


Abgewinkeltes Apple-Logo

Nachdem ein Forscher nicht weniger als sieben Sicherheitslücken in Safari für iOS und macOS entdeckt hatte, erhielt er eine Bug-Bounty-Auszahlung von 75.000 US-Dollar von Apple.

Ryan Pickren, ein ehemaliger Sicherheitsingenieur von Amazon Web Services (AWS), fand eine Reihe von Sicherheitslücken in Apples Webbrowser, von denen einige ausgenutzt werden könnten, um die Kamera eines Mac oder iPhones zu entführen, um Benutzer auszuspionieren. Die Webcam-Hacking-Technik kombinierte insgesamt drei Zero-Day-Bugs.

Siehe auch:

Pickren stellte fest, dass es möglich war, die Tatsache zu nutzen, dass während alle Apps den Benutzern die Erlaubnis zum Zugriff auf die Kamera und das Mikrofon geben müssen, dies gilt jedoch nicht für die eigenen Apps von Apple. Der Schwachstellenforscher erklärt: „Das Kamerasicherheitsmodell in iOS und macOS ist ziemlich intensiv. Kurz gesagt, jeder App muss explizit eine Kamera-/Mikrofon-Berechtigung erteilt werden, die vom Betriebssystem über eine Standard-Warnbox abgewickelt wird.“

Weiter sagt er:

Aber es gibt eine Ausnahme von dieser Regel. Apples eigene Apps erhalten kostenlosen Kamerazugriff. So kann Mobile Safari technisch ohne Nachfrage auf die Kamera zugreifen. Darüber hinaus ermöglichen neue Webtechnologien wie die MediaDevices Web API (üblicherweise bei WebRTC-Übertragungen verwendet) Websites, die Erlaubnis von Safari zum direkten Zugriff auf die Kamera zu nutzen. Ideal für webbasierte Videokonferenz-Apps wie Skype oder Zoom. Aber … diese neue webbasierte Kameratechnologie untergräbt das native Kamerasicherheitsmodell des Betriebssystems.

In einem ausführliche technische Beschreibung In seiner Arbeit beschreibt Pickren, wie es möglich war, einen Benutzer zum Besuch einer schädlichen Website zu verleiten, der Safari aufgrund der Art und Weise, wie URIs geparst wurden, vertrauen würde. Er erklärt, wie er festgestellt hat, dass Safari keinen Unterschied zwischen den Domains https://example.com, https://www.example.com, http://example.com und fake://example.com sah ausgenutzt werden, um bösartiges Javascript zu liefern, um Webcams und Mikrofone zu kompromittieren.

Wie Forbes Berichten waren die sieben Schwachstellen (CVE-2020-3852, CVE-2020-3864, CVE-2020-3865, CVE-2020-3885, CVE-2020-3887, CVE-2020-9784 und CVE-2020-9787) alle verantwortlich an Apple weitergegeben und alle wurden jetzt behoben. Drei Zero-Days, die zu einer „Kamera-Kill-Chain“ zusammengefasst werden konnten, wurden im Safari 13.0.5-Update, das am 28. Januar veröffentlicht wurde, behoben. Die verbleibenden vier Schwachstellen wurden als weniger schwerwiegend angesehen und in Safari 13.1 behoben, das wurde am 24. März freigelassen.

Bildnachweis: Stockforlife / Shutterstock



Vorheriger ArtikelBritische IT-Führungskräfte planen, in den nächsten zwei Jahren SAP-Apps in die Cloud zu migrieren
Nächster ArtikelMicrosoft veröffentlicht NOCH EIN WEITERES Out-of-Band-Update zur Behebung von Windows 10-Druckproblemen

Kommentieren Sie den Artikel

Bitte geben Sie Ihren Kommentar ein!
Bitte geben Sie hier Ihren Namen ein