Исправлена ​​ошибка Vision Pro; веб-сайты больше не могут заполнить вашу комнату летучими мышами

Apple исправила ошибку Vision Pro, которая позволяла веб-сайту заполнить вашу комнату неограниченным количеством виртуальных 3D-объектов. Эти объекты — летучие мыши в качестве доказательства концепции — сохранятся даже после того, как вы выйдете из Safari.

Ошибка была обнаружена исследователем кибербезопасности, который говорит, что Apple приложила много усилий для защиты от такого типа эксплойтов, но забыла одну вещь…

У Apple есть защита от этого

Райан Пикрен говорит, что Apple имеет специальную защиту от этого в приложениях Vision Pro.

Одна из важных областей, которую Apple по праву защищает, — это защита того, кому и чему разрешено проникать в ваше личное пространство внутри Vision Pro. Разве не было бы ужасно, если бы вредоносное приложение могло напугать вас, создавая предметы позади вас? К счастью, по умолчанию нативные приложения ограничены «Общее пространство” контекст, где они действуют предсказуемо и могут быть легко закрыты.

Если приложению требуется более захватывающий опыт, оно должно получить явное разрешение от пользователя через приглашение на уровне ОС, которое помещает его в доверенную «Полное пространствоконтекст.

Веб-сайты могут использовать экспериментальные функции для достижения той же цели, но Apple расширила модель Full Space, чтобы она применима и к веб-сайтам.

Но компания забыла одну вещь

Но Apple забыла о функции AR, которую она разработала еще в 2018 году. Она до сих пор присутствует в WebKit, включая сборку Vision Pro.

Существует более старый веб-стандарт просмотра 3D-моделей, о котором команда VisionOS, похоже, забыла — Apple AR Kit Quick Look! Еще в 2018 году, когда Apple впервые начала заниматься AR/VR/XR, они разработали в iOS новый метод на основе HTML для рендеринга 3D-файлов Pixar под названием In-Place USDZ Viewing. […]

После некоторого быстрого тестирования я заметил, что этот стандарт все еще жив и здоров в WebKit (включая сборку VisionOS) и даже поддерживает более современный «.реальностьТип файла, созданный Apple Reality Composer. Фактически, мы можем даже добавить пространственный звук, чтобы казалось, будто звук исходит от самого объекта. Более того, эти функции работают по умолчанию «из коробки», поэтому жертве не нужно включать какие-либо необычные экспериментальные функции.

И вот что самое интересное: Safari не применяет какую-либо модель разрешений для этой функции. Более того, для этого даже не требуется, чтобы этот якорный тег был «нажат» человеком. Таким образом, программный клик JavaScript (т.е. document.querySelector(‘a’).click()) работает без проблем! Это означает, что мы можем запускать произвольное количество 3D, анимированных, создающих звук объектов. без какого-либо взаимодействия с пользователем.

Если жертва просто Просмотры наш сайт в Vision Pro, мы можем мгновенно наполнить их комнату сотнями ползающих пауков и визжащих летучих мышей! Странная штука.

Все, что нужно сделать пользователю, это просто зайти на сайт, и через пару секунд…

Теперь исправлено

Apple заплатила Пикрену нераскрытое вознаграждение за обнаружение уязвимости, и теперь она исправлена.

Основное изображение: Тодд Крэйвенс на Unsplash. Гифка «Летучие мыши»: Райан Пикрен.