Οι ερευνητές ανακάλυψαν μια εκμετάλλευση του spoofing στο URL του Safari τόσο στο iOS όσο και στο OS X που επιτρέπει στους επιτιθέμενους να παραπλανήσουν τους χρήστες να σκέφτονται ότι επισκέπτονται αξιόπιστους ιστότοπους όταν στην πραγματικότητα επισκέπτονται μια τελείως διαφορετική διεύθυνση. Ο hack μπορεί να χρησιμοποιηθεί για phishing και για τη διανομή κακόβουλου λογισμικού.
Οι ερευνητές δημιούργησαν μια εκμετάλλευση αποδεικτικών στοιχείων που καταδεικνύει πώς λειτουργεί η επίθεση. Όταν οι χρήστες κάνουν κλικ στον σύνδεσμο, η γραμμή διευθύνσεων του Safari τους λέει ότι επισκέπτονται τη διεύθυνση www.dailymail.co.uk - τη διεύθυνση μιας δημοφιλούς βρετανικής εφημερίδας. Αλλά στην πραγματικότητα, επισκέπτονται μια εντελώς διαφορετική διεύθυνση URL.
"Ο κώδικας επίδειξης δεν είναι τέλειος" εξηγεί η Ars Technica. "Στη δοκιμασμένη συσκευή iPad Mini Ars, η γραμμή διευθύνσεων ανανέωσε περιοδικά τη διεύθυνση καθώς εμφανίστηκε η σελίδα για επαναφόρτωση. Η συμπεριφορά μπορεί να αποτρέψει περισσότερους καταλαβαίνω χρήστες ότι κάτι είναι άδοξο. "
Παρόλα αυτά, θα μπορούσε να ξεγελάσει πολλούς άλλους χρήστες του Safari να σκεφτούν ότι επισκέπτονται γνήσιους ιστότοπους και αυτό έχει σοβαρές συνέπειες. Οι επιτιθέμενοι θα μπορούσαν να δημιουργήσουν έναν ιστότοπο ντυμένο ως PayPal, για παράδειγμα, και να κλέψουν τις πληροφορίες σύνδεσης - και στη συνέχεια τα χρήματά σας.
Η εκμετάλλευση δεν λειτουργεί σε άλλα προγράμματα περιήγησης όπως το Chrome, τον Firefox και τον Internet Explorer.
Ο Ars εξηγεί ότι το JavaScript χρησιμοποιείται για να οδηγήσει το Safari σε μια διεύθυνση URL - εκείνη που αντικατοπτρίζεται στη γραμμή διευθύνσεων - και στη συνέχεια τον αναγκάζει να επαναφορτώσει γρήγορα μια άλλη διεύθυνση URL πριν εμφανιστεί η αρχική σελίδα.
Η Apple θα είναι πρόθυμη να αντιμετωπίσει ένα τέτοιο ελάττωμα, το οποίο θέτει σε κίνδυνο τους χρήστες του Safari και τα δεδομένα τους. Ας ελπίσουμε ότι θα δούμε μια επιδιόρθωση στην επόμενη ενημέρωση του Safari και δεν θα χρειαστεί να περιμένουμε πολύ για αυτό.