研究人员在Safari中发现多个0 day漏洞，漏洞影响Safari 13.0.4 版本。

如果你在使用iPhone或MacBook，那么请注意当你使用Safari浏览器浏览特定网站时可能你的iPhone或MacBook 摄像头可能就会被黑。

近日，苹果公司通过漏洞奖励计划向白帽黑客Ryan Pickren发放了7.5万美元（约合53万***）的奖励，Ryan Pickren发现了Safari浏览器中发现了7个0 day安全漏洞，分别是：

• CVE-2020-3852。在确定网站的多媒体权限时，一个URL方案可能会被错误地忽略。

• CVE-2020-3864。一个DOM对象环境可能没有唯一的安全源。

• CVE-2020-3865。一个顶级DOM对象环境可能被错误地认为是安全的。

• CVE-2020-3885。错误处理文件URL引发的漏洞。

• CVE-2020-3887。下载的源被错误地关联引发的漏洞。

• CVE-2020-9784。恶意iframe可能使用了另一个网站的下载设置。

• CVE-2020-9787。在确定网站的多媒体权限时，含有“-”和“.” 临接的URL方案会被错误地忽略。

在 iOS和macOS的摄像头安全模型，每个app必须被明确授予摄像或麦克风权限，这是通过标准的告警窗口由操作系统的。

Safari浏览器在授予摄像头、麦克风、位置等权限时，需要在per-website上进行设置。这样，app就不用每次启动时都请求用户的权限了，比如skype app。但是该规则在iOS上有例外。当第三方app请求用户明示同意时，Safari就会在没有弹窗的情况下访问摄像头或相册。

远程攻击者利用Safari 浏览器可以秘密地访问设备摄像头、麦克风、位置信息，甚至保存的密码。如果恶意网站想要设备的摄像头权限，必须伪装成可信的视频会议网站，比如Skype或Zoom。此外，Safari也无法检查网站是否坚持了同源策略，因此可能会授予网站本不应有的权限。因此，https://example.com和"fake://example.com" 这样的网站都会拥有相同的权限。因此，通过利用Safari浏览器的hostname分析漏洞，可以使用"file:" URI (file:///path/to/file/index.html)方案来欺骗浏览器修改域名。让Safari浏览器认为站点是skype.com，就可以价值恶意JS文件。当打开本地HTML文件时，摄像头、麦克风、屏幕共享权限都会被获取。

研究人员还发现利用Safari的password 自动填充可以窃取明文密码。先打开一个可信站点作为弹窗仍然还可以绕过自动下载预防，并用该特征来下载恶意文件。

同样地，"blob:" URI (e.g. blob://skype.com)可以被用来运行任意的JS代码，使用它在在没有授权的情况下访问受害者的webcam。

相关漏洞补丁已经在1月28日发布的Safari v13.0.5 和3月24日发布的Safari 13.1中修复。研究人员建议Safari用户尽快更新浏览器到最新版本，并且确保浏览器访问权限只授予那些必要的功能。

更多技术细节参见https://www.ryanpickren.com/webcam-hacking

https://thehackernews.com/2020/04/hacking-iphone-macbook-camera.html

本文作者：ang010ela

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/127492.html