Onderzoekers hacken Safari op de Mac en nemen controle Touch Bar over

Safari-exploit richt zich op Touch Bar

Tijdens het Pwn2Own-event proberen beveiligingsonderzoekers lekken te vinden in veelgebruikte software en browsers. Vorig jaar ontdekte onderzoeker Samuel Groß van de phoenhex-hackersgroep al een kwetsbaarheid in Safari en dit jaar sloeg hij opnieuw toe. Deze keer vond hij een kwetsbaarheid in de Touch Bar op de nieuwste MacBook Pro. Groß bleek in staat om de tekst op een Touch Bar aan te passen en ontving een geldbedrag van $65.000 voor zijn ontdekking.

Apple’s Touch Bar op de nieuwste MacBook Pro’s is beveiligd met een speciale T1-chip met een Secure Enclave. Maar toch slaagde Groß erin om met een driestapsproces toegang te krijgen tot de inhoud van de Touch Bar. Hij verdiende daarmee zes punten waarmee hij uiteindelijk de titel Master of Pwn kan verdienen. Groß gebruikte een combinatie van een JIT-optimalisatiebug in de browser, een macOS-bug om te ontsnappen uit de sandbox en een kernel overwrite om code uit te voeren via Safari.

Safari-bugs

Op het event deed Richard Zhu ook een poging om de beveiligingsprotocollen van de iPhone 7 te omzeilen. Hij wilde daarvoor twee Safari-bugs gebruiken die hij eerder op een Pwn2Own-event in november had laten zien. Maar het lukte niet om in de beschikbare 30 minuten het trucje te herhalen. Wel slaagde Zhu erin om de beveiliging van de Microsoft Edge-browser te doorbreken.

Wat betekent het voor jou?
Onderzoekers kunnen met de wedstrijd geldprijzen winnen. Dat er nu kwetsbaarheden zijn ontdekt, wil nog niet zeggen dat je als Safari- of Touch Bar-gebruiker direct gevaar loopt. De gedemonstreerde beveiligingslekken worden aan de betreffende leverancier gemeld, zodat die een update kan uitbrengen.

Pwn2Own is een jaarlijkse hackwedstrijd die al sinds 2007 bestaat en waarbij beveiligingsonderzoekers proberen om in een korte tijd beveiligingslekken te demonstreren. Het is onderdeel van het Zero Day Initiative. Dit jaar werkten de organisatoren samen met Microsoft en sponsor VMWare. In totaal is er 2 miljoen dollar aan prijzengeld te verdienen. Vandaag zullen er nog meer pogingen worden ondernomen om Safari, de macOS kernel en Apple’s sandbox te grazen te nemen. Via Twitter kun je de ontwikkelingen volgen.