باگ‌ موجود در مرورگر سافاری و امکان سرقت اطلاعات هارد درایو توسط هکرها

بر اساس گزارش جدید یک محقق حوزه امنیتی باگ موجود در مرورگر سافاری شرکت اپل می‌تواند جهت سرقت یا نفوذ در فایل‌های ذخیره شده روی دستگاه‌‌های مجهز به سیستم‌عامل‌های iOS و macOS مورد سوء استفاده هکرها قرار گیرد.

پاول وایلسیال؛ بنیان‌گذار شرکت لهستانی فعال در حوزه امنیت موسوم به REDTEAM.PL پیش‌تر در ماه آوریل برای نخستین بار به وجود این باگ پی برد و موضوع را به اپل گزارش داد. با این‌حال پس از اعلام تصمیم غول کوپرتینویی مبنی بر به تعویق انداختن انتشار پچ مربوط به این باگ تا بهار سال 2021 آقای وایلسیال نیز تصمیم گرفت تا یافته‌های خود را با عموم کاربران به اشتراک بگذارد. وی در پست وبلاگی اخیرا منتشر شده خود توضیح می‌دهد که این باگ در قسمت Web Share API مرورگر سافاری رویت شده است. Web Share API یک استاندارد جدید وب است که امکان اشتراک‌گذاری متون، لینک‌ها، فایل‌ها و سایر اشکال محتوا میان مرورگرهای مختلف را فراهم می‌کند.

باگ موجود در مرورگر سافاری می‌تواند جهت سرقت اطلاعات محلی از دستگاه‌های مجهز به سیستم‌عامل‌های iOS و macOS مورد استفاده قرار گیرد

مرورگر اپل به کاربران امکان می‌دهد تا فایل‌هایی که به‌صورت محلی روی دستگاه‌های iOS و macOS آن‌ها ذخیره شده‌اند را به اشتراک بگذارند. با این‌حال مشخصه مذکور می‌تواند از سوی وبسایت‌های مخرب مورد سوء استفاده قرار گیرد. این سایت‌ها همزمان با تلاش کاربر جهت اشتراک‌گذاری مقاله یا سایر محتویات آنلاین از طریق مرورگر سافاری اقدام به سرقت مخفیانه فایل‌ها می‌کنند.

Web Share API در مرورگر سافاری

آقای وایلسیال برای اثبات این ادعا ویدیویی را در پست وبلاگی خود منتشر کرد. این ویدیو نحوه استفاده از باگ موجود در Web Share API جهت سرقت پرونده‌ها، پسوردها و پایگاه داده سوابق وبگردی کاربر در مرورگر سافاری را نمایش می‌دهد. به گفته آقای وایسیال این باگ “مشکلی بسیار جدی” به‌شمار نمی‌رود؛ زیرا لو رفتن فایل‌های محلی مستلزم تعامل میان کاربر و مهندسی اجتماعی پیچیده برای فریب دادن مخاطب است. وی همچنین خاطرنشان کرد که هکرهای مهاجم به آسانی می‌توانند فایل‌های اشتراک‌‌گذاری شده را از دید کاربران مخفی نمایند.

باگ موجود در Web Share API یقینا نگران‌کننده است؛ اما واکنش اپل نسبت به گزارش آقای وایلسیال نیز به‌مراتب نگران‌کننده‌تر به‌نظر می‌رسد. محققان امنیتی معمولا پیش از افشای عمومی یافته‌های خود برای رفع آن‌ها فرصتی 90 روزه را در اختیار شرکت‌ها قرار می‌دهند. اما اپل با موکول نمودن حل این مشکل به بهار سال آینده پاول وایلسیال را وادار به افشای عمومی این آسیب‌پذیری نمود. این کارشناس امنیتی خاطرنشان کرد که ورژن‌های 13.4.1 و 13.6 از سیستم‌عامل iOS، پلتفرم macOS Mojave 10.14.16 با مرورگر سافاری نسخه 13.1 و macOS Catalina 10.15.5 با نسخه 13.1.1 مرورگر سافاری همگی تحت تاثیر این باگ قرار دارند و در حال حاضر رفع این مشکل به هیچ عنوان امکان‌پذیر نیست.

کارشناسان امیدوارند که آقای وایلسیال با افشای یافته‌های خود بتواند اپل را نسبت به رفع باگ اخیر و سایر اشکالات کشف شده توسط سایر محققان امنیتی ترغیب نماید.