Safari luovuttaa käyttäjän tiedot hyökkääjälle
Niko Jylhä
Tutkija löysi "todella yksinkertaisen" haavoittuvuuden Applen Safari-selaimesta ja julkaisi esimerkkikoodin internetissä.
23.7.2010 10:45
21
Mac-käyttäjän osoitekirjan henkilökohtaiset tiedot ovat vaarassa, hälyttää tutkija Jeremiah Grossman WhiteHat Securitysta. Safari-selaimen versiot 4 ja 5 sisältävät haavoittuvuuden verkkolomakkeita automaattisesti täydentävässä AutoFill-toiminnossa.
Hyökkääjä voisi luoda verkkosivun, joka onkii käyttäjän tiedot huomaamatta Mac OS X -käyttöjärjestelmän osoitekirjasta JavaScript-koodin avulla. Näihin tietoihin sisältyvät esimerkiksi nimi, työpaikka, kaupunki ja sähköpostiosoite.
Hyväksikäyttö on mahdollista, vaikka käyttäjä ei olisi koskaan kirjoittanut tietoja yhdellekään verkkosivulle, Grossman korostaa blogissaan.
– Tämä haavoittuvuus on niin yksinkertainen, että oletin jonkun toisen kertoneen siitä jo julkisesti. Mutta lukuisat etsinnät ja kyselyt tuottivat vesiperän, Grossman kirjoittaa.
Puhelinnumerot
eivät vuoda
Jeremiah Grossman on tehnyt haavoittuvuuden todentavan esimerkkikoodin, jonka julkaisi verkossa hänen pitkäaikainen kollegansa Robert Hansen. Heidät muistetaan muun muassa niin sanotun clickjackin-vaaran esille nostamisesta.
Grossmanin mukaan ei ole takeita, etteikö Safarin aukkoa olisi jo voitu hyväksikäyttää hyökkäyksissä. Myönteistä on, että jostain syystä osoitekirjan numerolliset tiedot, kuten puhelinnumerot, eivät voi vuotaa haavoittuvuuden kautta.
Tutkija päätti julkistaa tietonsa sen jälkeen, kun Apple näytti suhtautuvan välinpitämättömästi hänen 17. kesäkuuta lähettämäänsä tiedonantoon. Haavoittuvuudelta voi suojautua kytkemällä AutoFill-toiminnon pois päältä.
Laajempi
ongelma
Hyökkäys ei toimi Applen iPadissa, iPhonessa tai iPodissa. Grossman kuitenkin epäilee, että aukko ei koskisi vain Safaria, vaan olisi laajempi WebKit-selainmoottoria koskeva ongelma. Hän veikkaa, että Google Chromen vanhemmat versiot saattavat kärsiä samasta haavoittuvuudesta.
Lisäksi samankaltainen haavoittuvuus on hänen mukaansa myös Microsoftin Internet Explorer -selaimen vanhoissa versioissa 6 ja 7, The Register -lehti kertoo.
Tutkija Jeremiah Grossmanin on määrä paljastaa ensi viikolla myös Firefoxin ja Chromen haavoittuvuuksia, jotka vaarantavat salasanat. Hän pitää esitelmän Las Vegasin Black Hat -hakkeritapaamisessa.
Kommentit (21)
Onpa yllättävää, että Apple suhtautuu välinpitämättömästi tuotteissaan oleviin vikoihin.
Innovaativisia laitteita Apple osaa kyllä tehdä, mutta asiakkaisiin suhtautuminen on jotain aivan käsittämättömän ylimielistä. Itse en osta mitään Applen tuotetta, vaikka mieli tekisi, vain sen takia miten Apple toimii.
Joka kerta kun uusi kuva lataantuu niin selain hyppii ihan mihin sattuu, käsittämättömän rasittavaa.
Mitä Applella oikein tällä hetkellä ajatellaan?
Joka kerta kun uusi kuva lataantuu niin selain hyppii ihan mihin sattuu, käsittämättömän rasittavaa.
Mitä Applella oikein tällä hetkellä ajatellaan?
Sama täällä. Selain toimii todella heikosti. Apple osaa kyllä tehdä innovatiivisia laitteita, mutta vikoihin suhtautuminen alkaa jo pikkuhiljaa pänniä oikein urakalla. Taitaa seuraava luuri olla joku muu kuin iLuuri.
Nämä tietoturvatutkijat tuntuvat olevan kunnon prinsessoja. Juuri heitä pitäisi huomioida ja paijata.
Olisi julkaissut tietonsa välittömästi, jos julkisuutta haluaa. Apple ei näistä etukäteen huutele:
"For the protection of our customers, Apple does not disclose, discuss, or confirm security issues until a full investigation has occurred and any necessary patches or releases are available." - support.apple.com
Asialla on oltava jonkun vakiojengin - muuten moinen ei piru vie ole mahdollista! Kyllä minäkin tunnustan että APPLE on aivan OK kone, vaikkakin pirun kallis - ja jopa virheille altis. Näinhän joutui jopa firman suuri JOHTAJA Jobbs myöntämään pari päivää sitten - oikein STAGELLA jossain kokouksessa. Itsepähän näin asian televisiosta - kanava oli France24.com, ja siitä tehtiin kunnon juttu. Koska tällä firmalla on Ranskassa melkoisen kova asema - ja silleen!