"Сквозь границы безопасности: Уязвимость iLeakage в iOS и macOS угрожает конфиденциальности пользователей"
Исследователи обнаружили потенциально катастрофическую уязвимость, названную iLeakage, которая оказывает воздействие на операционные системы iOS и macOS. Эта уязвимость открывает двери злоумышленникам для кражи чувствительных данных, таких как пароли, электронные письма и платежная информация, используя веб-браузер Safari. На данный момент, сообщается, что никто еще не успел злоупотребить этой уязвимостью.
Атака с использованием iLeakage происходит, когда пользователь посещает веб-сайт, который фоново загружает другой вредоносный веб-ресурс. Этот вредоносный код нарушает изоляцию памяти, так как браузерный движок WebKit группирует веб-сайты из разных доменов в одном процессе с использованием JavaScript-функции window.open. В результате этого, у злонамеренных сайтов появляется доступ к общей памяти, что позволяет извлекать конфиденциальные данные из всего процесса.
Исследователи безопасности продемонстрировали, как они смогли скомпрометировать учетные записи и пароли из популярных социальных сетей, восстановить письма из Gmail, собрать историю просмотра на YouTube и получить данные из функции автоматического заполнения в Safari.
Следует отметить, что уязвимость iLeakage может быть использована на устройствах с процессорами A12, M1 и более новыми. Ошибка встречается только в браузерах, основанных на WebKit. На iOS это касается всех доступных браузеров, а на macOS - только Safari. За прошедшие несколько лет подобные уязвимости, наподобие Spectre и Meltdown, были обнаружены в процессорах AMD и Intel. Компании выпустили соответствующие обновления, но уязвимость iLeakage оказалась более упорной и умело обходит эти патчи.
Важно отметить, что для проведения атаки с использованием iLeakage необходимо обладать высокой экспертизой в области уязвимостей и глубоким пониманием процессоров Apple. Поэтому пока никто не воспользовался этой уязвимостью. Однако, Apple уже в курсе ситуации и работает над патчем, чтобы обеспечить безопасность своих пользователей.