Une faille non corrigée dans le navigateur Apple Safari permet aux pirates de voler votre historique de navigation, vos favoris, vos téléchargements ou tout autre fichier auquel Safari peut accéder, affirme un chercheur en sécurité polonais. Le problème semble exister à la fois sur les Mac et sur les iPhones.

Pawel Wylecial, qui a une société appelée REDTEAM PL, a écrit dans un article de blog hier (24 août) qu’une fonctionnalité appelée Web Share fait un peu de partage excessif dans Safari. Il a déclaré avoir informé Apple de la faille en avril de cette année, mais comme la société a décidé de ne pas résoudre le problème avant le printemps 2021, Wylecial a décidé de devenir publique.

Wylecial a qualifié cette faille de « pas très grave », mais une bonne ingénierie sociale pourrait facilement inciter les utilisateurs Apple à abandonner leurs données personnelles en les attirant vers des sites Web malveillants.

C’est facile? Wylecial a créé une démonstration de validation de principe à laquelle vous pouvez vous essayer https://overflow.pl/webshare/poc2.html. Si vous cliquez sur le bouton « Partagez-le avec vos amis! » sous le chaton mignon dans Safari, vous serez invité avec une liste d’applications possibles pour la livraison – Messages, Mail, etc.

Choisissez un destinataire et envoyez le lien, mais attention: le destinataire recevra également votre historique de navigation. Nous pouvons voir comment les voleurs de données pourraient également inciter les utilisateurs à envoyer des liens à des inconnus.

Que faire

Pour éviter d’être victime de ce genre de choses, n’utilisez pas Web Share dans Safari pour le moment. Si vous souhaitez partager un lien avec des amis, utilisez la méthode éprouvée qui consiste à sélectionner le lien dans la barre d’adresse du navigateur, à le copier, à ouvrir un e-mail ou une application de messagerie et à le coller dans le corps du texte.

Surpartage Web

Web Share permet aux utilisateurs de navigateur d’envoyer facilement des liens de navigateur à leurs amis par e-mail ou par messages instantanés, mais Wylecial dit que l’implémentation de Safari Web Share ne vérifie pas ces liens pour voir s’il y a autre chose.

Wylecial a découvert que s’il ajoutait un chemin de fichier local à l’URL, la fonction Safari Web Share copierait le fichier ainsi que l’URL et enverrait les deux au destinataire du partage Web.

Web Share est une fonctionnalité open-source disponible pour tous les navigateurs, mais selon la dernière documentation, sa seule implémentation de bureau à ce jour est sur Safari pour Mac. Sur les appareils mobiles, Web Share est pris en charge sur Chrome, Opera et Samsung Internet pour Android et sur Safari pour iOS.

Nous avons testé la preuve de concept de Wylecial sur Chrome pour Android et cela n’a pas fonctionné. Mais une autre personne a ouvert le lien dans Safari sur son iPhone, cliquez sur « Partagez-le avec des amis! » et envoyez le lien vers notre compte Gmail. Nous avons reçu une base de données SQLite de son historique de navigation.

Nous avons demandé à une autre personne de tester la preuve de concept de Wylecial sur un Mac. Cependant, le « Partagez-le avec vos amis! » bouton semblait ne fonctionner qu’avec les applications Apple. Comme elle n’avait pas configuré Mail pour gérer ses e-mails (elle utilise Gmail et Outlook), nous ne pouvions pas aller plus loin, mais nous pensons que nous aurions pu le faire si Mail avait été configuré.

Tom’s Guide a contacté Apple pour obtenir des commentaires et nous mettrons à jour cette histoire si nous recevons une réponse.