Уязвимость в системе безопасности iCloud исправлена ​​Apple

Согласно новому сообщению в блоге, уязвимость системы безопасности в iCloud, которая могла использоваться для отправки вредоносного ПО пользователям Mac, теперь исправлена ​​Apple.

Это позволяло злоумышленнику внедрять вредоносный код в документы Pages или Keynote, которые затем можно было передать другим …

ZDNet сообщает:

Вишал Бхарад, охотник за головами и тестировщик на проникновение, утверждает, что обнаружил брешь в безопасности, которая является проблемой XSS, хранящейся на icloud.com.

Сохраненные уязвимости XSS, также известные как постоянные XSS, могут использоваться для хранения полезной нагрузки на целевом сервере, внедрения вредоносных сценариев на веб-сайты и потенциально могут использоваться для кражи файлов cookie, токенов сеанса и данных браузера.

По словам Бхарада, недостаток XSS на icloud.com был обнаружен в функциях Page / Keynotes домена Apple iCloud.

Бхарад говорит, что Apple выплатила ему вознаграждение в размере 5000 долларов за обнаружение ошибки и сообщение о ней.

Относительно небольшая выплата за потенциально очень серьезную ошибку, вероятно, была связана с очень конкретными шагами, необходимыми для ее запуска, что затрудняло ее использование.

Чтобы вызвать ошибку, злоумышленнику необходимо было создать новый контент Pages или Keynote с полезной нагрузкой XSS, отправленной в поле имени.

Затем этот контент нужно будет сохранить и либо отправить, либо поделиться с другим пользователем. Затем злоумышленнику потребуется внести пару изменений во вредоносный контент, снова сохранить его, а затем перейти в «Настройки» и «Все версии браузера».

По словам исследователя, после выбора этой опции запускается полезная нагрузка XSS.

Вы можете увидеть ниже видео доказательство концепции.

Apple впервые представила вознаграждение за обнаружение ошибок в системе безопасности еще в 2016 году, но подверглась нападкам со стороны исследователей безопасности по двум направлениям. Во-первых, это была программа только по приглашениям; во-вторых, максимальная выплата составила 200 тысяч долларов. Утверждается, что оба фактора побуждают людей продавать информацию правительствам и компаниям, занимающимся черной шляпой, которые будут использовать их для взлома устройств Apple. В конце прошлого года компания из Купертино решила обе проблемы, открыв программу для всех и увеличив максимальную выплату до 1,5 миллиона долларов.