Comment j’ai trouvé un bug de webcam chez Apple et remporté une prime de 100 000 $

• Une vulnérabilité utilisant iCloud Sharing et Safari 15 permettait d’accéder à la caméra ainsi qu’aux informations de tous les sites web visités par l’utilisateur

• Quatre bugs 0-day ont été découverts et signalés, avec une prime totale de 100 500 $

• Tous ces bugs ont été corrigés au début de 2022, ce qui a permis une publication détaillée de l’affaire

Bug de Universal Cross-Site Scripting (UXSS)

• En exploitant une vulnérabilité du navigateur, il devenait possible de réunir les conditions d’une XSS et d’obtenir un accès à tous les sites

• L’attaque exploitait le fait que l’app ShareBear, qui télécharge et exécute des fichiers iCloud, ne redemandait plus confirmation après une première exécution

• Après avoir obtenu une autorisation en téléchargeant d’abord une image, l’attaquant pouvait faire télécharger un binaire exécutable afin d’ouvrir un Webarchive contenant du code malveillant

• Ouvrir directement ce webarchive était bloqué par Gatekeeper, mais cela a aussi été contourné en créant un fichier URL Windows pointant vers lui

• Il fallait connaître l’emplacement réel sur le disque dur à inscrire dans le fichier URL, ce qui étant difficile, l’attaque commençait par monter un fichier DMG

[xguru]

L’explication est complexe aussi… je n’imagine pas combien de temps il a fallu y consacrer pour découvrir ça.

J’avais déjà partagé auparavant une histoire sur quelqu’un qui a gagné de l’argent grâce à une faille Apple.

• Gagner 330 millions de wons en piratant Apple pendant 3 mois https://fr.news.hada.io/topic?id=2995