Informacje i nowości

Luka w Safari na OS X sprawia, że przeglądarka zapisuje hasła z ostatniej sesji jako zwykły tekst

Safari

Vyacheslav Zakorzhevsky z Kaspersky Lab poinformował o odkryciu luki w Safari, która pozwala uzyskać dostęp do loginów i haseł, które zostały użyte w poprzedniej sesji przeglądarki.

Safari posiada opcję przywrócenia wszystkich zakładek, które były otwarte w poprzedniej sesji, przed zakończeniem programu. Skoro taka możliwość istnieje, to jest to równoznaczne, że program musi przechowywać gdzieś dane na ten temat. Okazuje się, że w pliku LastSession.plist, oprócz informacji o otwarto otwartych zakładkach, zachowane są także nasze loginy i hasła, i  co najgorsze – jako zwykły tekst, bez żadnego szyfrowania, nawet jeśli do komunikacji z witryną był używany protokół https.

Poniżej możecie zobaczyć zrzut ekranu przedstawiający zawartość takiego pliku. Na czerwono zaznaczone są login i hasło do konta na gmailu.

Plik LastSession.plist z Safari

Dane, chociaż niewidoczne przy normalnym użytkowaniu komputera, mogą być bardzo łatwo wydobyte przez osobę, która uzyska fizyczny lub zdalny dostęp do naszego komputera.

Stosunkowo dobrą wiadomością jest to, że błąd dotyczy tylko starszej wersji Safari:

[list_style ]

  • 6.0.5 (8536.30.1) na OS X 10.8.5
  • 6.0.5 (7536.30.1) na OS X 10.7.5

[/list_style]

Kaspersky Lab przekazało już informację o odkrytym błędzie do Apple.

[source name=”SecureList” url=”http://www.securelist.com/en/blog/8168/Loophole_in_Safari”]

To Top