Amaya Toman Entru White Hat dekouvri de defo sekirite nan navigatè Safari a nan yon konferans sekirite nan Vancouver. Youn nan yo se menm kapab ajiste otorizasyon li yo nan pwen nan pran kontwòl konplè sou Mac ou a. Premye nan pinèz yo dekouvri te kapab kite sandbox la - yon mezi sekirite vityèl ki pèmèt aplikasyon yo jwenn aksè sèlman done pwòp yo ak sistèm.
Konpetisyon an te kòmanse pa ekip Fluoroacetate, ki gen manm yo te Amat Cama ak Richard Zhu. Ekip la espesyalman vize navigatè entènèt Safari a, avèk siksè atake li epi kite sandbox la. Tout operasyon an te pran prèske tout limit tan yo te bay ekip la. Kòd la te sèlman siksè dezyèm fwa a, epi montre ensèk la te touche Ekip Fluoroacetate $ 55K ak 5 pwen nan direksyon pou tit la Master of Pwn.
Dezyèm pinèz la revele pèmèt aksè rasin ak nwayo sou yon Mac. Ensèk la te demontre pa ekip la phoenhex & qwerty. Pandan ke yo ap navige pwòp sit entènèt yo, manm ekip yo jere yo aktive yon ensèk JIT ki te swiv pa yon seri travay ki mennen nan yon atak sistèm konplè. Apple te konnen youn nan pinèz yo, men demontre pinèz yo te fè patisipan yo $45 ak 4 pwen pou tit Master of Pwn la.
Òganizatè konferans lan se Trend Micro anba banyè inisyativ Zero Day li (ZDI). Pwogram sa a te kreye pou ankouraje entru yo rapòte vilnerabilite an prive dirèkteman bay konpayi olye pou yo vann yo bay move moun yo. Rekonpans finansye, rekonesans ak tit yo ta dwe motivasyon pou entru yo.
Pati ki enterese voye enfòmasyon ki nesesè yo dirèkteman bay ZDI, ki kolekte done ki nesesè sou founisè a. Lè sa a, chèchè yo anplwaye dirèkteman nan inisyativ la pral tcheke stimuli yo nan laboratwa tès espesyal epi yo ofri dekouvri a yon rekonpans. Li peye imedyatman apre apwobasyon li. Pandan premye jou a, ZDI te peye plis pase 240 dola bay ekspè.
Safari se yon pwen antre komen pou entru. Nan konferans ane pase a, pa egzanp, navigatè a te itilize pou pran kontwòl Touch Bar MacBook Pro a, epi nan menm jou a, patisipan yo te demontre lòt atak ki baze sou navigatè.
Sous: ZDI a
