Amaya Toman Hackers White Hat descobriram duas falhas de segurança no navegador Safari em uma conferência de segurança em Vancouver. Um deles é ainda capaz de ajustar suas permissões a ponto de assumir o controle total do seu Mac. O primeiro dos bugs descobertos foi capaz de sair do sandbox – uma medida de segurança virtual que permite que aplicativos acessem apenas os seus próprios dados e os do sistema.
A competição foi iniciada pela equipe Fluoroacetate, composta por Amat Cama e Richard Zhu. A equipe mirou especificamente no navegador Safari, atacou-o com sucesso e saiu da sandbox. Toda a operação levou quase todo o tempo previsto para a equipe. O código só teve sucesso na segunda vez, e mostrar o bug rendeu ao Team Fluoroacetate $ 55 mil e 5 pontos para o título de Master of Pwn.
O segundo bug revelado permitia acesso root e kernel em um Mac. O bug foi demonstrado pela equipe phoenhex & qwerty. Enquanto navegavam em seu próprio site, os membros da equipe conseguiram ativar um bug JIT seguido por uma série de tarefas que levaram a um ataque completo ao sistema. A Apple sabia sobre um dos bugs, mas demonstrá-los rendeu aos participantes US$ 45 e 4 pontos para o título de Master of Pwn.
O organizador da conferência é a Trend Micro sob a bandeira de sua iniciativa Zero Day (ZDI). Este programa foi criado para encorajar hackers a relatar vulnerabilidades diretamente às empresas, em vez de vendê-las para as pessoas erradas. Recompensas financeiras, reconhecimentos e títulos devem ser a motivação dos hackers.
Os interessados enviam as informações necessárias diretamente à ZDI, que coleta os dados necessários sobre o fornecedor. Pesquisadores contratados diretamente pela iniciativa verificarão os estímulos em laboratórios de testes especiais e oferecerão uma recompensa ao descobridor. É pago imediatamente após a sua aprovação. Durante o primeiro dia, a ZDI pagou mais de 240 mil dólares a especialistas.
O Safari é um ponto de entrada comum para hackers. Na conferência do ano passado, por exemplo, o navegador foi usado para assumir o controle da Touch Bar de um MacBook Pro e, no mesmo dia, os participantes do evento demonstraram outros ataques baseados em navegador.
Zdroj: O ZDI
