Apple não Reage e Corrige Bug Explorado no Safari, Usado para Roubar Senhas

A Apple mantém sua posição firme para evitar esforços para reparar um bug do Safari que pode ser explorado para roubar senhas de usuários.

Uma falha em um problema de script universal entre sites (UXSS) está em questão, uma vez que foi descoberta uma vulnerabilidade no navegador Safari da Apple, identificada pelos pesquisadores de segurança do Rapid7. Essa falha específica por trás do formato de arquivo .webacrchive exige uma interação direta direta do usuário antes de revelar as senhas salvas na infraestrutura UXSS.

A Apple está confiando no fato de que os usuários recebem um aviso informando que "o conteúdo foi baixado de uma página da Web antes de abrir o arquivo". Esse 'raciocínio' é mais do que provável por que a Apple optou por não reparar o bug do Safari. Talvez a Apple esteja preocupada em invocar o próximo iPhone ou iPad.

Pesquisadores de segurança concordam principalmente que essa 'decisão' da Apple é potencialmente perigosa, pois existem vários vetores de ataque diferentes que podem iniciar o abuso do UXSS para roubar cookies do usuário. Além disso, outros aspectos do que o navegador Safari salva, como tokens CSRF, arquivos locais, JavaScript e senhas salvas, podem ser abusados por criminosos cibernéticos.

Não ter nenhum patch ou correção para esse bug do Safari realmente deixa aqueles que podem seguir as etapas exatas necessárias para tornar seu sistema vulnerável a um ataque no frio. Os especialistas em segurança, por enquanto, estão aconselhando os usuários do Safari a evitar a abertura total dos arquivos .webarchive.