Хакеры могут незаметно получать доступ ко всем данным на macOS через Safari

На профильном русскоязычном ресурсе xakep.ru специалист по информационной безопасности Bo0oM подробно описал возможность получения доступа к данным пользователя через браузер Safari. Под угрозой атаки, от которой можно защититься только полностью отказавшись от браузера Apple, пользователи macOS. Для реализации атаки злоумышленникам нужно лишь доставить на компьютер жертвы HTML-документ, пишут AIN.UA.

Основная уязвимость, позволяющая совершить атаку, заключается в особенности выполнения JavaScript для HTML-документов в Safari. Конкретно, речь идет объекте XMLHttpRequest (XHR), который дает возможность из JavaScript делать HTTP-запросы к серверу без перезагрузки страницы. Несмотря на XML в названии, объект позволяет работать с любыми данными: читать содержимое файла и отправлять на указанный сервер.

Safari, как и другие браузеры, по умолчанию не позволяет выполнять XHR-запросы к файлам на жестком диске. Однако, у браузера Apple есть отличительная особенность: если HTML-документ уже сам сохранен на компьютере, такой стандартный запрос можно выполнить к любому локальному файлу. Так хакеры смогут получить содержимое файлов, хранящих SSH-ключи; историю команд, введенных в терминале; куки; информацию о аккаунтах в системе; историю сообщений в мессенджерах и, в принципе, любую информацию.

В качестве способа доставки вредоносного HTML-файла исследователь предложил использовать клиент Telegram для macOS, который не маркирует происхождение переданных через него файлов (флаг Where from). Но в материале отмечается, что таким могут грешить и многие другие приложения. В конце концов, хакеры могут просто подбросить жертве флешку с вредоносным файлом.

Фактически, защититься от этого можно только полностью отказавшись от использования Safari. Однако, файлы с расширениями XHTM и webarchive открываются только в браузере Apple и позволяют выполнять JavaScript.


Павел Красномовец, AIN





Интересные новости
Незавершенная версия Windows 7 работает лучше Vista
Программист открыл заблокированные возможности Windows 7
Quick Slide Show 2.32: создание flash-презентаций
Покупатели гоняются за старыми компьютерами ради Windows XP
Визуализатор V-Ray 1.5 Service Pack 2 с поддержкой 3ds Max 2009
Блок рекламы


Похожие новости

В аеропортах на всіх континентах хаос через глобальний збій MicrosoftВ аеропортах на всіх континентах хаос через глобальний збій Microsoft
Вчені оцінили ймовірність вимирання людства через розвиток ШІВчені оцінили ймовірність вимирання людства через розвиток ШІ
В Україні став доступний додаток ChatGPTВ Україні став доступний додаток ChatGPT
Гендиректор OpenAI «побоюється» ChatGPT і впевнений, що через даний ШІ зникне низка професійГендиректор OpenAI «побоюється» ChatGPT і впевнений, що через даний ШІ зникне низка професій
Китай заборонив техкомпаніям пропонувати користувачам доступ до ChatGPT – ЗМІКитай заборонив техкомпаніям пропонувати користувачам доступ до ChatGPT – ЗМІ
Internet Explorer от Microsoft прекратил работу во всем миреInternet Explorer от Microsoft прекратил работу во всем мире
Хакеры требуют от NVIDIA перевести её драйверы в разряд открытого ПО или будут опубликованы другие секреты производителяХакеры требуют от NVIDIA перевести её драйверы в разряд открытого ПО или будут опубликованы другие секреты производителя
Zoom исправила ошибку в клиенте под macOS, из-за которой казалось, что приложение постоянно подслушиваетZoom исправила ошибку в клиенте под macOS, из-за которой казалось, что приложение постоянно подслушивает
Apple выпустила macOS 12.2.1 с исправлением проблемы самопроизвольной разрядки некоторых MacBookApple выпустила macOS 12.2.1 с исправлением проблемы самопроизвольной разрядки некоторых MacBook
Apple заплатила рекордные $100 тыс. студенту, который нашёл способ взломать Mac через браузерApple заплатила рекордные $100 тыс. студенту, который нашёл способ взломать Mac через браузер
Последние новости

Подгружаем последние новости