Posté le août 26, 2020 à 17:15
LA VULNÉRABILITÉ DU NAVIGATEUR SAFARI PERMET AUX HACKERS DE VOLER LES FICHIERS DES UTILISATEURS
Un rapport récent a révélé que les propriétaires de MacOS et ceux qui utilisent le navigateur Safari pour surfer sur le web peuvent être vulnérables à une attaque malveillante. Selon le rapport, la vulnérabilité permet aux hackers de voler des fichiers sur les ordinateurs des victimes.
La vulnérabilité récemment découverte dans le navigateur Safari pourrait ternir la réputation d’Apple en matière de correction rapide des vulnérabilités. Le bug ouvre la porte aux hackers pour détourner les fonctionnalités du navigateur en question et voler des données et des fichiers privés. À l’heure actuelle, la vulnérabilité est toujours ouverte aux attaques, et les experts en cybersécurité ont donné quelques conseils aux utilisateurs pour éviter d’en être victimes.
Selon un communiqué publié par Pawel Wylecial, un chercheur polonais en sécurité, la nouvelle vulnérabilité a été découverte dans l’API Safari d’Apple, qui peut faire en sorte que les hackers profitent d’une fonctionnalité normalement inoffensive pour voler des données sensibles.
Ce bug particulier permet à l’utilisateur de partager des vidéos, des images, des liens et d’autres contenus avec ses contacts sur le web.
En général, il est inoffensif d’utiliser cette fonction pour partager des éléments via le téléphone. Cependant, un acteur malveillant pourrait théoriquement modifier un lien partagé pour voler les fichiers partagés. Cela signifie essentiellement qu’une fois que l’utilisateur a partagé un fichier, le fichier effectivement envoyé ne sera pas celui qu’il avait prévu. Ce n’est pas que l’utilisateur ait envoyé par erreur le mauvais fichier, mais les acteurs manipulent le bug.
Les acteurs peuvent facilement extraire des fichiers
Pour expliquer clairement le problème, REDTEAM.PL a mis à jour un lien pour l’extraction du mot de passe alors que la demande initiale était une photo de panier.
Dans ce cas, si un utilisateur a cliqué par erreur sur ce type de lien, les scénarios seront dangereux car les acteurs peuvent facilement extraire les fichiers système privés et l’historique du navigateur de l’utilisateur.
Le pire de toute cette situation est le fait que les dialogues système de MacOS n’indiquent pas toujours le type de fichier partagé. En conséquence, l’utilisateur peut ne même pas se rendre compte que ses données et informations ont été volées.
De plus, les dialogues système de MacOS n’indiquent pas toujours le type de fichier partagé. Cela signifie qu’un utilisateur pourrait se faire voler son appareil sans s’en rendre compte.
Pawel a dit avoir contacté Apple avec des preuves de cette vulnérabilité. Cependant, la société n’a pas agi rapidement ni pris le problème trop au sérieux. Apple a placé le bug dans la catégorie « peu prioritaire » car il nécessite une interaction de l’utilisateur pour que les hackers puissent l’utiliser avec succès.
Apple a par la suite admis qu’il travaillait sur un patch pour le bug, mais il ne sera probablement pas disponible avant le printemps de l’année prochaine.
Apple a alors demandé aux chercheurs en sécurité de patienter avant de divulguer leurs découvertes, car la société veut d’abord s’attaquer au problème.
Toutefois, M. Pawel a déclaré qu’Apple n’avait pas donné de calendrier précis, c’est pourquoi il a décidé de partager ses découvertes avec la communauté en ligne.
Comment les utilisateurs peuvent se protéger
Pour l’instant, la bonne marche à suivre est que les utilisateurs utilisent eux-mêmes le lien de partage en utilisant l’icône Safari qui ressemble à une boîte avec une flèche. L’utilisateur est en sécurité s’il ne clique pas sur le lien malveillant qui l’invite à partager le menu avant de l’ouvrir. Ainsi, si l’utilisateur partage les fichiers du menu de son téléphone sur son téléphone, cela ne lui sera pas préjudiciable.
Les chercheurs en sécurité ont également averti les utilisateurs de ne plus répondre aux invitations qu’ils voient en ligne. Si un site demande ou ordonne à l’utilisateur de partager un fichier, ils doivent supposer qu’il s’agit d’une demande bidon destinée à les tromper.
Ceux qui suivent la demande pourraient perdre plus que ce qu’ils attendent de leur smartphone, car leurs mots de passe, leurs photos et tout leur historique de navigation pourraient être en jeu.
