Peneliti Menemukan Safari Mengungkapkan Informasi Pribadi

Fitur di browser Safari Apple yang dirancang untuk mempermudah pengisian formulir dapat disalahgunakan oleh peretas untuk mengambil informasi pribadi, menurut seorang peneliti keamanan.

Fitur AutoFill Safari diaktifkan secara default dan akan mengisi informasi seperti nama depan dan belakang, tempat kerja, kota, negara bagian, dan alamat e-mail ketika ia mengenali formulir, tulis Jeremiah Grossman, CTO untuk WhiteHat Security, di blognya. Informasi berasal dari buku alamat sistem operasi lokal Safari.

Fitur ini membuang data ke dalam formulir bahkan jika seseorang tidak memasukkan data pada situs Web tertentu, yang membuka peluang bagi peretas.

[Lanjut membaca: Bagaimana cara menghapus malware dari PC Windows Anda]

"Semua situs web jahat harus melakukan untuk diam-diam mengekstraksi data Buku Alamat kartu dari Safari secara dinamis membuat kolom teks formulir dengan nama yang disebutkan sebelumnya, mungkin tidak terlihat, dan kemudian menyimulasikan AZ peristiwa keystroke menggunakan JavaScript, "tulis Grossman. "Ketika data diisi, yaitu IsiOtomatis, dapat diakses dan dikirim ke penyerang."

Kode bukti-konsep untuk serangan telah dipublikasikan di blog Robert Hansen, CEO SecTheory. Grossman juga memposting video serangan di blognya.

Untuk beberapa alasan, data yang diawali dengan angka tidak akan mengisi bidang teks dan tidak dapat diperoleh. "Namun, serangan semacam itu dapat dengan mudah dan murah didistribusikan dalam skala massal. menggunakan jaringan periklanan di mana mungkin tidak akan ada yang memperhatikan karena tidak mengeksploitasi kode yang dirancang untuk mengirimkan payload rootkit, "tulis Grossman.

" Faktanya, tidak ada jaminan bahwa ini belum terjadi, "tulisnya." Apa aman untuk dikatakan adalah bahwa kerentanan ini sangat sederhana sehingga saya berasumsi orang lain pasti sudah melaporkannya secara publik, tetapi pencarian lengkap dan meminta beberapa rekan tidak menghasilkan apa-apa. "

Grossman melaporkan masalah tersebut ke Apple pada 17 Juni, tapi dia belum menerima balasan yang dipersonalisasi.

Untuk menghindari ini menuntut, pengguna cukup menonaktifkan formulir Web IsiOtomatis, tulisnya.

Kirim kiat dan komentar berita ke [email protected]