Dziura bezpieczeństwa w Safari

Problem związany jest z funkcją pozwalającą na przywrócenie stron otwartych w poprzedniej sesji i pozwala na odczytanie haseł użytkowników.

W trakcie badań nad różnymi rodzajami szkodliwych programów dla OS X eksperci z Kaspersky Lab natknęli się na poważny błąd w bezpieczeństwie Safari. Jest on związany z funkcją przywracania poprzedniej sesji.

Aby przeglądarka wiedziała, co było otwarte na końcu ostatniej sesji, musi przechowywać pewne dane, chociaż oczywiście powinny być one zaszyfrowane. Safari nie szyfruje takich informacji i przechowuje je w pliku LasSession.plist, który bez problemu każdy może otworzyć. W związku z tym każdy może przejrzeć dane użytkownika związane z uwierzytelnianiem.

Mechanizm odzyskiwania stron aktywnych przed poprzednim zamknięciem przeglądarki w takim stanie, w jakim znajdowały się w poprzedniej sesji, znajdziemy w wersjach systemu: OS X 10.8.5 Safari 6.0.5 (8536.30.1) oraz OS X 10.7.5 Safari 6.0.5 (7536.30.1).

Eksperci z Kaspersky Lab poinformowali już Apple o wykrytej luce, zauważając jednocześnie, że nietrudno wyobrazić sobie konsekwencje powstania szkodliwego programu uzyskującego dostęp do pliku LastSession.plist, a wraz z nim haseł do kont bankowych, serwisów społecznościowych i innych serwisów.

Źródło: Kaspersky Lab