Apple potwierdziło w poniedziałek, że jego urządzenia były narażone na exploit, który pozwalał na zdalne wykonanie złośliwego kodu poprzez webowy JavaScript, otwierając wektor ataku, który mógłby oddzielić niczego niepodejrzewających ofiar od ich kryptowalut.
Zgodnie z niedawnym ujawnieniem bezpieczeństwa Apple'a, użytkownicy muszą korzystać z najnowszych wersji oprogramowania JavaScriptCore i WebKit, aby załatać lukę.
Błąd, odkryty przez badaczy z grupy analizy zagrożeń Google'a, pozwala na „przetwarzanie złośliwie skonstruowanej zawartości sieciowej”, co może prowadzić do „ataku typu cross-site scripting.”
Co bardziej niepokojące, Apple również przyznało, że „jest świadome raportu, że ten problem mógł być aktywnie wykorzystywany w systemach Mac opartych na Intel.”
Apple również wydał podobne ujawnienie dotyczące bezpieczeństwa dla użytkowników iPhone'a i iPada. Tutaj mówi, że luka w JavaScriptCore pozwala na „przetwarzanie złośliwie skonstruowanej zawartości sieciowej, co może prowadzić do wykonania dowolnego kodu.”
Innymi słowy, Apple stało się świadome luki w zabezpieczeniach, która mogłaby pozwolić hakerom przejąć kontrolę nad iPhone'em lub iPadem użytkownika, jeśli odwiedzą szkodliwą stronę internetową. Aktualizacja powinna rozwiązać problem, powiedziało Apple.
Jeremiah O’Connor, CTO i współzałożyciel firmy zajmującej się cyberbezpieczeństwem kryptowalut Trugard, powiedział Decrypt, że „atakujący mogą uzyskać dostęp do wrażliwych danych, takich jak klucze prywatne lub hasła” przechowywane w ich przeglądarkach, co umożliwia kradzież kryptowalut, jeśli urządzenie użytkownika pozostanie niezałatane.
Ujawnienia dotyczące luki w społeczności kryptograficznej zaczęły krążyć w mediach społecznościowych w środę, gdy były CEO Binance Changpeng Zhao zaalarmował w tweecie, aby użytkownicy Macbooków z procesorami Intel jak najszybciej zaktualizowali swoje urządzenia.
Rozwój następuje po raportach z marca, że badacze bezpieczeństwa odkryli lukę w chipach poprzedniej generacji Apple'a — serii M1, M2 i M3, która mogła pozwolić hakerom na kradzież kluczy kryptograficznych.
Eksploatacja, która nie jest nowa, wykorzystuje „prefetching”, proces używany przez własne chipy M-series Apple'a do przyspieszania interakcji z urządzeniami firmy. Prefetching może być wykorzystany do przechowywania wrażliwych danych w pamięci podręcznej procesora, a następnie uzyskania do nich dostępu w celu rekonstrukcji klucza kryptograficznego, który powinien być niedostępny.
Niestety, ArsTechnica donosi, że jest to poważny problem dla użytkowników Apple'a, ponieważ luka na poziomie chipu nie może być rozwiązana przez aktualizację oprogramowania.
Potencjalne obejście może złagodzić problem, ale handluje wydajnością na rzecz bezpieczeństwa.
Redagowane przez Stacy Elliott i Sebastiana Sinclaira