Falha de segurança no Safari permite redirecionamento para sites maliciosos

As mais recentes versões do Safari para Mac OS X e iOS↳iOS38 conteúdosO X do Xamarin Forms – O guia das funcionalidades nativas – Parte 01: iOSDev (Back & Front) · abr 2019Desenvolvedores: Apple libera terceiro beta do iOS 12.4Dev (Back & Front) · mai 201910 bibliotecas que todo desenvolvedor iOS deve substituir ainda em 2024Dev (Back & Front) · out 2024Ver tudo em Dev (Back & Front) → estão vulneráveis a um URL-spoofing que permite aos hackers realizarem ataques de phishing. Essa falha grave de segurança do navegador da Apple pode ser utilizada para redirecionar os usuários para sites maliciosos utilizando URLs autênticas.

A descoberta foi realizada pelo pesquisador de segurança David Leo, que publicou uma prova da falha presente na versão mais recente do Safari. De acordo com a amostra do pesquisador, ao abrir o site dailymail.co.uk foi possível exigir o conteúdo de outro site, no caso o deusen.co.uk, hospedado em seu próprio servidor. A falha foi apresentada tanto no Mac OS X quanto no iOS 8.3 de um iPhone 5S.

“Embora este teste de conceito não seja perfeito, ele definitivamente poderia ser utilizado por ataques de phishing muito facilmente”, declarou Manuel Humberto Santander Peláez, da SANS Internet Storm Center.

A vulnerabilidade permite que os hackers redirecionem os usuários do Safari para sites maliciosos com a finalidade de instalar malwares ou roubar credenciais de logins de contas de e-mail, fóruns, redes sociais e vários outros sites. O código de ataque é projetado para redirecionar o browser para uma URL falsa antes que o conteúdo seja carregado. Isso só é possível pois o processo acontece de maneira muito rápida, a cada 10 milissegundos.

Este problema também pode ser aproveitado para a realização de ataques de phishing, solicitando ao usuário que insira informações confidenciais, como dados bancários e de cartões de crédito.

Até que uma atualização não seja desenvolvida para corrigir o problema, o recomendável é deixar de utilizar a última versão do Safari.

***

Com informações de Canal Tech