Safari apresenta nova vulnerabilidade

A empresa de segurança WhiteHat descobriu uma crítica vulnerabilidade de segurança no navegador Safari da Apple. O problema pode permitir que hackers extraiam informações pessoais da lista de endereços do OS X.

De acordo com Jeremiah Grossman, CTO da WhiteHat, quando um usuário do Safari visita um site malicioso, mesmo que ele nunca tenha entrado com qualquer informação pessoal ou mesmo estado lá, o bug pode criar campos fantasmas e conseguir dados pessoais, como o primeiro e o último nomes, local de trabalho, cidade, estado e endereço de e-mail.

O executivo afirmou que a empresa conseguiu hackear a funcionalidade de autocompletar, habilitada por padrão nas versões 4 e 5 do Safari, que juntas respondem por 4% de market share (aproximadamente 83 milhões de usuários).

Ele acrescentou que sites maliciosos poderiam operar de forma desleal e extrair dados da lista de endereços para, em seguida, criar dinamicamente campos de texto com nomes correspondentes. Depois, o site simularia eventos com toques de teclas de A a Z usando JavaScript↳JavaScript116 conteúdosJavaScript em 2020: O que esperarDev (Back & Front) · jan 2020Campos públicos e privados em classes JavaScript – O que vem por aí no ESNextDev (Back & Front) · abr 201929 anos de JavaScript!Dev (Back & Front) · jan 2025Ver tudo em Dev (Back & Front) →.

“Quando os dados são populados [autocompletados], eles podem ser acessados e enviados ao criminoso. A partir daí, todo esse processo leva meros segundos e representa uma grande falha na privacidade”, explicou Grossman

Segundo o CTO, a falha poderia ser alavancada em ataques como spam, phishing, perseguição e chantagem, caso um usuário deixe de ser anônimo ao visitar um site cujo conteúdo seja censurável.

Entretanto, Grossman ressaltou que qualquer dado de autocompletar que comece com um número fica fora dos limites da falha.

Grossman afirma ter entrado em contato com a Apple para reportar a falha, mas não obteve nenhuma resposta. Porém a vulnerabilidade pode ser contornada facilmente: basta desabilitar o AutoFill nas opções do Safari.

Com informações de TG Daily