Apple betaalt onderzoeker 100.000 dollar voor lek dat toegang tot webcam geeft
Apple heeft beveiligingsonderzoeker Ryan Pickren 100.500 dollar betaald voor een reeks kwetsbaarheden waarmee een aanvaller toegang tot de webcam en accounts van gebruikers kan krijgen. Twee jaar geleden ontving de onderzoeker voor een andere aanval waarmee hij de webcam kon benaderen 75.000 dollar. Apple heeft de beveiligingslekken inmiddels verholpen.
De beveiligingslekken die Pickren vond bevinden zich in iCloud Sharing en Safari 15. Voor het uitvoeren van de aanval moet een slachtoffer wel eerst een pop-up op een malafide website openen waarin wordt gevraagd een shared folder te bekijken. Niet alleen kan een aanvaller zo toegang tot de webcam krijgen, maar ook tot elke door het slachtoffer bezochte website. “Naast het inschakelen van je camera kan mijn bug ook je iCloud, PayPayl, Facebook, Gmail en andere accounts hacken”, zo stelt de onderzoeker.
Het onderzoek van Pickren leverde vier kwetsbaarheden op, waarvan er twee een CVE-nummer kregen (CVE-2021-30861 en CVE-2021-30975). Twee van de beveiligingslekken gebruikte de onderzoeker voor de “camera hack”. Voor het uitvoeren van de aanval moet het slachtoffer wel eerst akkoord gaan met het bekijken van een gedeelde folder in een iCloud Drive. Deze folder bevat een aantal png-afbeeldingen, alsmede twee verborgen bestanden eindigend op .dmg en .url.
De website die de gebruiker om toestemming vraagt gebruikt vervolgens het icloud-sharing:// url-scheme om automatisch beide verborgen bestanden te lanceren, waarmee de Gatekeeper-beveiliging wordt omzeild. Tijdens dit proces krijgt de gebruiker geen meldingen of vensters te zien. Via het dmg-bestand wordt een webarchief geladen dat weer code injecteert waarmee de webcam is in te schakelen of toegang tot bezochte websites kan worden gekregen.
Pickren waarschuwde Apple, dat vorige jaar september en oktober met updates kwam. Voor zijn bumeldingen ontving de onderzoeker 100.500 dollar. Eén van de hoogste bugbounties die Apple ooit heeft uitgekeerd.
Bron: Security.nl