Se recomienda que mantengas el navegador Safari actualizado
Si usas un iPhone o MacBook de Apple, tenemos una noticia alarmante para ti.
Resulta que simplemente visitar un sitio web, no solo sitios maliciosos sino también legítimos que también cargan anuncios maliciosos sin saberlo, con el uso del navegador Safari podría haber permitido que los atacantes remotos accedan en secreto a la cámara, el micrófono o la ubicación de tu dispositivo y, en algunos casos, también a las contraseñas guardadas.
Apple pagó recientemente una recompensa de $ 75,000 a un pirata informático ético, Ryan Pickren, quien demostró prácticamente el hack y ayudó a la compañía a reparar un total de siete nuevas vulnerabilidades antes de que cualquier atacante real pudiera aprovecharlas.
Las correcciones se publicaron en una serie de actualizaciones de Safari que abarca las versiones 13.0.5 (lanzadas el 28 de enero de 2020) y Safari 13.1 (publicada el 24 de marzo de 2020).
"Si el sitio web malicioso quería acceso a la cámara, todo lo que tenía que hacer era hacerse pasar por un sitio web confiable de videoconferencia como Skype o Zoom", dijo Pickren.
Cuando se encadenaron tres de los defectos de Safari informados podrían haber permitido que sitios maliciosos se hicieran pasar por cualquier sitio legítimo en el que la víctima confía y acceda a la cámara o al micrófono al abusar de los permisos que, de lo contrario, la víctima otorgaría explícitamente solo al dominio de confianza.
Una cadena de exploits para abusar de los permisos por sitio de Safari
El navegador Safari otorga por sitio web acceso a ciertos permisos como cámara, micrófono, ubicación y más. Esto facilita que los sitios web individuales, digamos Skype, accedan a la cámara sin pedir permiso al usuario cada vez que se inicia la aplicación.
Pero en iOS hay excepciones a esta regla. Si bien las aplicaciones de terceros deben requerir el consentimiento explícito del usuario para acceder a la cámara, Safari puede acceder a la cámara o a la galería de fotos sin ninguna solicitud de permiso.
Específicamente, el acceso indebido es posible al aprovechar una cadena de exploits que resolvió múltiples fallas en la forma en que el navegador analizó los esquemas de URL y manejó la configuración de seguridad por sitio web. Este método solo funciona con sitios web que están actualmente abiertos.
"Una observación más importante fue que el esquema de la URL se ignora por completo", señaló Pickren. "Esto es problemático porque algunos esquemas no contienen un nombre de host significativo, como file:, javascript:, or data:."
Dicho de otra manera, Safari no pudo verificar si los sitios web se adhirieron a la política del mismo origen, otorgando así acceso a un sitio diferente que en primer lugar no debería haber obtenido permisos. Como resultado, un sitio web como "https://example.com" y su contraparte maliciosa "fake://example.com" podría terminar teniendo los mismos permisos.
Por lo tanto, al aprovechar el lento análisis de nombres de host de Safari, fue posible usar un URI "file:" (por ejemplo, file: ///path/to/file/index.html) para engañar al navegador para que cambie el nombre de dominio usando JavaScript.
"Safari cree que estamos en skype.com, y puedo cargar algunos JavaScript malvados. La cámara, el micrófono y el uso compartido de pantalla se ven comprometidos cuando abres mi archivo HTML local", dijo Pickren.
La investigación encontró que incluso se pueden robar de esta manera las contraseñas de texto sin formato, ya que Safari utiliza el mismo enfoque para detectar sitios web en los que se debe aplicar el llenado automático de contraseñas.
Además, se pueden evitar las precauciones de descarga automática abriendo primero un sitio confiable como una ventana emergente y luego usándolo para descargar un archivo malicioso.
Del mismo modo, se puede explotar un URI "blob": (por ejemplo, blob: //skype.com) para ejecutar código arbitrario de JavaScript, utilizándolo para acceder sin permiso directamente a la cámara web de la víctima.
Si eres un usuario de Safari, se recomienda que mantengas el navegador actualizado y te asegures de que los sitios web tengan acceso solo a las configuraciones que son esenciales para que funcionen.
