Hackers hebben doorgaans een slechte reputatie, maar zonder hen zouden veel beveiligingsproblemen onopgemerkt blijven. Dit werd bewezen door Ryan Pickren, een cybersecurity Ph. D. student aan het Georgia Institute of Technology.
Pickren ontdekte een gevaarlijke kwetsbaarheid op Apple Mac-apparaten die ongeautoriseerde cameratoegang verleenden. Hij rapporteerde dit aan Apple en voor zijn bijdrage ontving hij een recordbedrag van $100.500.
De hacker beschreef het hackproces in een lange blogpost, waarin hij gedetailleerd ingaat op de manier waarop hij tot het eindresultaat heeft kunnen komen. De bugs draaien om het misbruiken van problemen met iCloud Sharing en de Safari 15-browser. Hoewel het probleem misschien situationeel lijkt en waarschijnlijk niet zal worden gerepliceerd, is er voor een hacker slechts één kwetsbaarheid nodig om controle te krijgen over iemands apparaat.
Aanbevolen video's
De kwetsbaarheid begon met een iCloud deelapp genaamd ShareBear. Via ShareBear kunnen gebruikers elkaar toegang verlenen om naadloos documenten te delen. Zodra de gebruiker een uitnodiging accepteerde om een bepaald bestand met iemand anders te delen, herinnerde Mac zich deze toestemming en vroeg er nooit meer om. Hoewel dit op het eerste gezicht een mooie kwaliteit van leven lijkt, kan het helaas tot exploits leiden.
Omdat het bestand in de cloud wordt opgeslagen en niet lokaal, kan het op elk moment worden gewisseld nadat toestemming is verleend. Dit kan ertoe leiden dat een eenvoudig afbeeldings- of tekstbestand wordt omgezet in een uitvoerbaar bestand met kwaadaardige code. Pickren gebruikte deze exploit om bestandstypen te wijzigen en volledige toegang te krijgen tot die van de gebruiker Mac.
Pickren zei op zijn website: “Hoewel deze bug vereist dat het slachtoffer op ‘openen’ klikt in een pop-up van mijn website, resulteert dit in meer dan alleen het kapen van multimedia-toestemmingen. Deze keer geeft de bug de aanvaller volledige toegang tot elke website die het slachtoffer ooit heeft bezocht. Dat betekent dat mijn bug niet alleen je camera aanzet, maar ook je iCloud, PayPal, Facebook, Gmail, enz. ook rekeningen.”
Het bestand kan, eenmaal geopend via ShareBear, op elk moment en zonder verdere prompt op afstand worden gestart. Zoals Pickren uitlegt, opent dit zeker de deur naar een potentieel zeer gevaarlijke hack, waardoor volledige toegang tot de Mac in kwestie wordt verleend.
Apple heeft de bug in MacOS Monterey 12.0.1 (gelanceerd op 25 oktober 2021) opgelost nadat Pickren dit in juli had gemeld. Zijn premie van $100.500 is volgens Pickren het hoogste dat Apple ooit via zijn beveiligingsprogramma heeft aangeboden. Apple heeft dat onlangs ook gedaan nog een kritieke bug opgelost, dit keer met WebKit.
Dit was niet de eerste Apple-hackrodeo voor Pickren. In 2019 slaagde hij erin de camera en microfoon van de iPhone te hacken, waardoor een aantal gevaarlijke kwetsbaarheden in de code van Apple aan het licht kwamen. Apple beloonde hem genereus voor zijn inspanningen en gaf hem $75.000 in ruil voor het vinden en rapporteren van de bugs.
Aanbevelingen van de redactie
- Een groot lek onthult elke geheime Mac waar Apple aan werkt
- Dit is de reden waarom de M3 MacBook-chip van Apple zijn rivalen zou kunnen vernietigen
- De $600 kostende M2 Mac mini van Apple vernietigt de $6000 kostende Mac Pro
- Apple kondigt nieuwe MacBook Pro aan met M2 Pro- en M2 Max-chips
- Dit is wat we weten over de enorme Mac-lanceringen die Apple voor 2023 heeft gepland
Upgrade uw levensstijlMet Digital Trends kunnen lezers de snelle technische wereld in de gaten houden met het laatste nieuws, leuke productrecensies, inzichtelijke redactionele artikelen en unieke sneak peeks.
