A pochi giorni dalla presentazione dei nuovi iPhone Xs, ecco svelata una vulnerabilità che interessa gli smartphone della mela morsicata: è sufficiente un foglio CSS con poche righe di codice al suo interno per causare il blocco dell’iPhone e costringere il dispositivo a un riavvio non preventivato. Ricorda quanto accaduto nel mese di febbraio con l’ormai celebre carattere indiano.
Safari Ripper
A scoprire l’exploit, battezzato Safari Ripper, è stato lo sviluppatore e ricercatore Sabri Haddouche, intervenuto su Twitter con il post allegato di seguito in cui sono contenuti i link a un documento che approfondisce la questione e a una pagina che riproduce l’anomalia. Si sconsiglia ovviamente il click a tutti coloro che utilizzano un device Apple. A causare un assorbimento di tutte le risorse di sistema e il conseguente crash è un impiego massiccio della proprietà “backdrop filter” associata a numerosi elementi <div> inclusi nel corpo della pagina.
Il problema interessa non solo gli iPhone e gli iPad basati sul sistema operativo iOS (anche con la più recente beta della versione 12), ma anche tutti i computer della linea Mac con piattaforma macOS. Le ragioni sono da ricercare in un comportamento non previsto innescato dall’engine WebKit durante il rendering delle pagine HTML nel browser Safari.
How to force restart any iOS device with just CSS? 💣
Source: https://t.co/Ib6dBDUOhn
IF YOU WANT TO TRY (DON’T BLAME ME IF YOU CLICK) : https://t.co/4Ql8uDYvY3
— S (@pwnsdx) September 15, 2018
Al momento non sembra esserci modo, per gli utenti di iOS e macOS, di prevenire il rischio di imbattersi in un link malevolo che conduce all’apertura di una pagina contenente il codice in grado di mettere in ginocchio i dispositivi. Solo un’adeguata soglia di attenzione può tornare utile a scongiurare il pericolo. Si stia dunque alla larga da messaggi e collegamenti di natura sospetta. L’unico aspetto positivo della vicenda è costituito dal fatto che mediante la pratica non vengono in alcun modo messi a rischio la sicurezza e i dati personali, poiché non ci sono possibilità di intercettare e sottrarre le informazioni.
— S (@pwnsdx) September 15, 2018
Haddouche ha dichiarato di aver contattato Apple segnalando il problema e che l’azienda di Cupertino ha risposto affermando di aver avviato un’indagine al fine di comprendere la natura dell’exploit. Al momento non è dato a sapere se è in previsione il rilascio di un fix né eventualmente con quali tempistiche.
Ti potrebbe interessare
17 set 2018