Amaya Toman White Hat hakerləri Vankuverdə keçirilən təhlükəsizlik konfransında Safari brauzerində iki təhlükəsizlik qüsuru aşkar ediblər. Onlardan biri hətta Mac-a tam nəzarət etmək üçün icazələrini dəyişdirə bilir. Aşkar edilmiş səhvlərdən birincisi, tətbiqlərə yalnız öz və sistem məlumatlarına daxil olmağa imkan verən virtual təhlükəsizlik tədbiri olan qum qutusunu tərk edə bildi.
Yarışa üzvləri Amat Cama və Riçard Zhu olan Fluoroasetat komandası başladı. Komanda xüsusi olaraq Safari veb-brauzerini hədəf aldı, ona uğurla hücum etdi və sandboxdan çıxdı. Bütün əməliyyat, demək olar ki, komanda üçün ayrılmış bütün vaxt limitini çəkdi. Kod yalnız ikinci dəfə uğurlu oldu və səhvi göstərmək Team Fluoroacetate-ə 55K dollar və Master of Pwn tituluna 5 xal qazandırdı.
İkinci səhv Mac-da kök və nüvəyə girişə icazə verdi. Səhv phoenhex & qwerty komandası tərəfindən nümayiş etdirildi. Öz veb-saytlarına baxarkən, komanda üzvləri tam sistem hücumuna səbəb olan bir sıra tapşırıqların ardınca JIT səhvini aktivləşdirməyi bacardılar. Apple səhvlərdən biri haqqında bilirdi, lakin səhvləri nümayiş etdirmək iştirakçılara 45 dollar və Master of Pwn tituluna doğru 4 xal qazandırdı.
Konfransın təşkilatçısı “Zero Day” təşəbbüsünün (ZDI) bayrağı altında Trend Micro şirkətidir. Bu proqram hakerləri zəiflikləri yanlış insanlara satmaq əvəzinə birbaşa şirkətlərə özəl şəkildə bildirməyə təşviq etmək üçün yaradılmışdır. Maliyyə mükafatları, təşəkkürlər və titullar hakerlər üçün motivasiya olmalıdır.
Maraqlanan tərəflər lazımi məlumatları birbaşa provayder haqqında lazımi məlumatları toplayan ZDI-yə göndərirlər. Təşəbbüslə birbaşa işləyən tədqiqatçılar daha sonra xüsusi sınaq laboratoriyalarında stimulları yoxlayacaq və kəşf edənə mükafat təklif edəcəklər. Təsdiq edildikdən dərhal sonra ödənilir. İlk gün ərzində ZDI ekspertlərə 240 dollardan çox pul ödəyib.
Safari hakerlər üçün ümumi giriş nöqtəsidir. Məsələn, ötən ilki konfransda brauzer MacBook Pro-da Touch Bar-a nəzarət etmək üçün istifadə edilmişdi və həmin gün tədbirdə iştirak edənlər digər brauzer əsaslı hücumları nümayiş etdirdilər.
Mənbə: ZDI
