Apple es la encargada de mantener Safari. Su navegador es de código cerrado, a diferencia de lo que ocurre con Chrome. Por ello, el navegador de Google tiene muchos más ojos encima encontrando posibles vulnerabilidades. En el caso de Apple, la compañía está sola, y las siete vulnerabilidades que ha descubierto Ryan Pickren, un antiguo ingeniero de seguridad de Amazon Web Services (AWS), lo demuestra.
7 vulnerabilidades para espiar la cámara en iOS y macOS
De las siete vulnerabilidades encontradas en Safari (CVE-2020-3852, CVE-2020-3864, CVE-2020-3865, CVE-2020-3885, CVE-2020-3887, CVE-2020-9784, y CVE-2020-9787), tres de ellas permiten a un hacker acceder a la cámara de un Mac o de un iPhone cuando el usuario pincha en un enlace malicioso.
Casi cualquier aplicación requiere permisos específicos para acceder a la cámara y al micrófono, excepto las de la propia Apple como es el caso de Safari. Así, Pickren fue poco a poco descubriendo las vulnerabilidades hasta que consiguió tener acceso a la cámara. Por ejemplo, en el caso de Safari para iOS, el navegador puede acceder a la cámara sin preguntar, y con nuevas tecnologías como MediaDevices Web API (usada en transmisiones WebRTC), se permite a webs aprovecharse de ese permiso. Esto es cómo para apps como Skype o Zoom, pero permite acceder a la cámara si se encuentra una vulnerabilidad en el sistema.
Las vulnerabilidades CVE-2020-3864, CVE-2020-3865, y CVE-2020-9784 fueron arregladas en Safari 13.0.5 lanzado el 28 de enero, mientras que las otras cuatro (CVE-2020-3852, CVE-2020-3885, CVE-2020-3887, y CVE-2020-9787) fueron parcheadas el 24 de marzo con Safari 13.1. El problema es que, aunque las hayan arreglado, en el futuro podrían descubrirse otras nuevas que den acceso a la cámara, ya que Safari sigue siendo un navegador vulnerable.
Apple le ha pagado 75.000 dólares
Apple clasificó la vulnerabilidad como “Network Attack without User Interaction: Zero-Click Unauthorized Access to Sensitive Data”, por la cual le pagaron 75.000 dólares. Esta cifra contrasta con la que ofrece Zerodium, una empresa privada que luego revende a empresas de espionaje las vulnerabilidades. Una vulnerabilidad de ejecución de código remoto y escalada de privilegios locales se paga a 500.000 dólares. El caso es que sí hacía falta interactuar con el enlace al menos una vez haciendo un click, por lo que la elección de Apple por esa categoría puede haber sido para pagar una cifra mayor y evitar que los investigadores tengan la tentación de enviarle la vulnerabilidad a empresas privadas que paguen incluso siete veces más.
Fuente: Ryan Pickren | adslzone
