Safari 受到兩個安全漏洞的困擾。一款可以讓您完全掌控您的 Mac

白帽駭客在溫哥華舉行的安全會議上發現了 Safari 瀏覽器的兩個安全漏洞。其中之一甚至能夠調整其權限以完全控制您的 Mac。發現的第一個錯誤能夠離開沙箱——一種虛擬安全措施，允許應用程式僅存取自己的資料和系統資料。

比賽由Fluoroacetate團隊發起，成員為Amat Cama和Richard Zhu。該團隊專門針對 Safari Web 瀏覽器，成功對其進行了攻擊並離開了沙箱。整個行動幾乎花費了團隊規定的全部時間。該代碼僅第二次成功，並顯示該錯誤為 Fluoroacetate 團隊贏得了 55 美元和 5 分，贏得了 Pwn 大師頭銜。

第二個錯誤揭示了允許 Mac 上的 root 和核心存取。 phoenhex & qwerty 團隊示範了這個錯誤。在瀏覽自己的網站時，團隊成員設法啟動了 JIT 錯誤，隨後執行了一系列任務，導致整個系統受到攻擊。 Apple 知道其中一個漏洞，但透過展示這些漏洞，參與者獲得了 45 美元和 4 分，可以獲得 Pwn 大師稱號。

氟乙酸團隊（資料來源：ZDI）

會議的組織者是趨勢科技，旗下有零日倡議（ZDI）。該計劃的創建是為了鼓勵駭客私下直接向公司報告漏洞，而不是將其出售給錯誤的人。經濟獎勵、致謝和頭銜應該是駭客的動機。

有興趣的各方將必要的資訊直接發送給 ZDI，ZDI 收集有關提供者的必要資料。該計劃直接僱用的研究人員將在特殊測試實驗室檢查刺激，然後向發現者提供獎勵。批准後立即支付。第一天，ZDI 向專家支付了超過 240 萬美元。

Safari 是駭客的常見入口點。例如，在去年的會議上，瀏覽器被用來控制 MacBook Pro 上的 Touch Bar，而在同一天，活動的與會者示範了其他基於瀏覽器的攻擊。

來源： ZDI