Safari plågas av två säkerhetsbrister. En låter dig ta fullständig kontroll över din Mac

White Hat-hackare upptäckte två säkerhetsbrister i webbläsaren Safari vid en säkerhetskonferens i Vancouver. En av dem kan till och med justera sina behörigheter så att den tar fullständig kontroll över din Mac. Den första av buggen som upptäcktes kunde lämna sandlådan - en virtuell säkerhetsåtgärd som tillåter applikationer att bara komma åt sina egna data och systemdata.

Tävlingen startades av Fluoroacetate-teamet, vars medlemmar var Amat Cama och Richard Zhu. Teamet riktade sig specifikt mot webbläsaren Safari, attackerade den framgångsrikt och lämnade sandlådan. Hela operationen tog nästan hela den tilldelade tidsgränsen för laget. Koden lyckades bara andra gången och att visa buggen gav Team Fluoroacetate $55 5 och XNUMX poäng till Master of Pwn-titeln.

Den andra buggen som avslöjades tillät root- och kärnåtkomst på en Mac. Felet demonstrerades av phoenhex & qwerty-teamet. Medan de surfade på sin egen webbplats lyckades teammedlemmarna aktivera en JIT-bugg följt av en rad uppgifter som ledde till en fullständig systemattack. Apple kände till en av buggarna, men att demonstrera buggarna gav deltagarna $45 4 och XNUMX poäng mot Master of Pwn-titeln.

Fluoroacetat Team (Källa: ZDI)

Arrangören av konferensen är Trend Micro under flaggan av dess Zero Day-initiativ (ZDI). Detta program skapades för att uppmuntra hackare att privat rapportera sårbarheter direkt till företag istället för att sälja dem till fel personer. Finansiella belöningar, erkännanden och titlar bör vara motivationen för hackare.

Intresserade parter skickar nödvändig information direkt till ZDI, som samlar in nödvändig information om leverantören. Forskare som är direkt anställda av initiativet kommer sedan att kontrollera stimuli i särskilda testlaboratorier och sedan erbjuda upptäckaren en belöning. Den betalas omedelbart efter godkännande. Under den första dagen betalade ZDI ut över 240 XNUMX dollar till experter.

Safari är en vanlig ingångspunkt för hackare. Vid förra årets konferens användes till exempel webbläsaren för att ta kontroll över Touch Bar på en MacBook Pro, och samma dag visade deltagarna på evenemanget andra webbläsarbaserade attacker.

källa: ZDI