Estudiante estadounidense hackeó Mac y Apple le pagó un récord de $ 100.5 mil por ello

El estudiante estadounidense Ryan Pickren, que estudia ciberseguridad y previamente encontró vulnerabilidades en las cámaras de iPhone y Mac, logró piratear una Mac e incluso recibió una recompensa por ello.

¿Para qué?

La vulnerabilidad que descubrió Pickren está relacionada con una serie de problemas con Safari e iCloud, pero dice que Apple ya solucionó el problema. Sin embargo, una falla de seguridad podría dar a un atacante acceso total a todos cuentas web, desde iCloud hasta PayPal, así como permiso para usar el micrófono, la cámara y compartir pantalla. Como resultado, el pirata informático podría obtener acceso completo a todo el sistema de archivos del dispositivo.

Como explica Ryan, esto es posible mediante el uso de los archivos "webarchive" de Safari, el sistema que utiliza el navegador para guardar copias locales. sitios web. “La característica llamativa de estos archivos es que indican fuente webEl en el que se debe mostrar el contenido. Este es un gran truco para permitir que Safari restaure el contexto de lo guardado sitio web, pero como señalaron los autores de Metasploit en 2013, si un atacante puede de algun modo cambie este archivo de alguna manera, puede implementar efectivamente UXSS [Universal Cross Site Scripting]".

Para hacer esto, el usuario necesita descargar el archivo archivo weby, a continuación, ábralo. Pero Apple no consideró esto como un escenario de piratería realista cuando implementó por primera vez archivo web safari. “Por supuesto, esta decisión se tomó hace casi diez años, cuando el modelo de seguridad del navegador aún no estaba tan maduro como lo está hoy. Antes de Safari 13, al usuario ni siquiera se le mostraba ninguna advertencia antes Sitio web archivos arbitrarios cargados. Así que pon el archivo archivo web fue fácil”, señala Pikren.

Apple no comentó sobre este estudio, pero se sabe que como parte del descubrimiento de errores en el software, el estudiante recibió un pago de $ 100 500. Este es supuestamente el pago más grande de Apple, aunque la tarifa máxima oficial para el programa es de $ 1 millón.

Una fuente: AppleInsider