Araştırmacının Safari'yi Bulduğu Kişisel Bilgileri Gösterir

Apple'ın Safari tarayıcısında, formları doldurmayı kolaylaştırmak için tasarlanmış bir özellik, bir güvenlik araştırmacısına göre kişisel bilgilerin toplanması için bilgisayar korsanları tarafından kötüye kullanılabilir.

Safari'nin Otomatik Doldurma özelliği varsayılan olarak etkinleştirilir ve bilgi dolduracaktır. Bir formu tanıdığında ilk ve soyadı, iş yeri, şehir, eyalet ve e-posta adresi gibi, blogunda WhiteHat Security için CTO olan Jeremiah Grossman yazdı. Bu bilgiler Safari'nin yerel işletim sistemi adres defterinden gelir.

Bu özellik, bir kişi belirli bir Web sitesinde herhangi bir veri girmemiş olsa bile, verileri bir form için atar. okuma: Windows PC'nizden kötü amaçlı yazılımları nasıl temizlersiniz]

"Adres Defteri kart verilerini Safari'den gizlice çıkartmak için tüm kötü amaçlı bir web sitesinin yapması gereken şey, muhtemelen görünmeyen adlar ve daha sonra benzetimini yapmak üzere dinamik olarak form metin alanlarını dinamik olarak oluşturur JavaScript kullanarak tuş vuruşu olayları, "diye yazdı Grossman. "Veri doldurulduğunda, bu AutoFill'lendi, ona erişilebilir ve saldırgana gönderilebilir."

Saldırı için kavram kanıtı kodu SecTheory CEO'su Robert Hansen'in blogunda yayınlandı. Ayrıca saldırının videosunu blogunda yayınladı.

Bazı nedenlerle, sayılarla başlayan veriler metin alanlarını doldurmaz ve elde edilemez. "Yine de, bu tür saldırılar kitlesel ölçekte kolay ve ucuz bir şekilde dağıtılabilir “Kötüye kullanım yükü sağlamak için tasarlanmış bir istismar kodu olmadığından kimsenin fark etmeyeceği bir reklam ağı kullanmak,” diye yazdı Grossman. “

“ Aslında, bunun gerçekleşmediğine dair bir garanti yok ”diye yazdı. Bu savunmasızlığın bu kadar basit bir beyin olduğu, bir başkasının bunu zaten kamuoyuna açıklamış olması gerektiğini düşündüğümden eminim, fakat kapsamlı araştırmalar ve birçok meslektaşımdan hiçbir şey sormadığını söyledi. ”

Grossman sorunu 17 Haziran’da Apple’a bildirdi. ama henüz kişisel bir cevap almadı.

Bunu önlemek için davalar, kullanıcılar AutoFill Web formlarını basitçe devre dışı bırakabilir, yazdı.

[email protected] 'a haber bülteni ve yorum gönder