De Messages-dienst voor OS X bevatte een kwetsbaarheid, waardoor het mogelijk was om de gehele bestands- en gespreksgeschiedenis van een gebruiker te bemachtigen door deze op een link te laten klikken. Apple heeft in maart een patch verspreid om het lek te dichten.
De kwetsbaarheid, die het nummer cve-2016-1764 toegewezen heeft gekregen, was mogelijk doordat Messages gebruikmaakt van een embedded versie van de WebKit-engine. Daarnaast rendert de dienst elke uri als een selecteerbare html-link, zo schrijven de beveiligingsonderzoekers van Bishop Fox. Doordat er geen lijst met toegestane protocollen in Messages aanwezig is, kon een aanvaller een kwaadaardige javascript-link naar het slachtoffer sturen, zoals in de video hieronder wordt gedemonstreerd. Daardoor was een potentiële aanvaller in staat om javascript-code uit te voeren.
Omdat Messages geen same-origin policy hanteert konden er met een kwaadaardig script via een XHR GET-verzoek bepaalde bestanden opgevraagd worden. Om de bestands- en gespreksgeschiedenis van een gebruiker te bemachtigen was het wel nodig om de gebruikersnaam te achterhalen, waaronder deze in OS X is geregistreerd. Aan de hand daarvan kon de aanvaller het volledige pad naar de chat-database te genereren. Volgens de onderzoekers was dit echter geen probleem, omdat de ingelogde gebruiker eenvoudig opgevraagd kon worden vanuit de OS X-applicatie-sandbox. Op die manier was het mogelijk om de volledige bestands- en gespreksgeschiedenis naar een zelfgekozen server te sturen.
Als het automatisch doorsturen van sms-berichten was ingeschakeld kon door deze xss-aanval ook de geschiedenis van een iPhone achterhaald worden. Het was niet mogelijk om bijvoorbeeld malware via deze manier te installeren. De code van de bijbehorende exploit is door de onderzoekers beschikbaar gesteld op GitHub en er zouden geen aanwijzingen zijn dat de kwetsbaarheid daadwerkelijk door kwaadwillenden is gebruikt.
:strip_exif()/i/1297349685.gif?f=fpa)
/i/1356345137.png?f=fpa)
/i/1357300660.png?f=fpa)
:strip_exif()/i/1386852239.gif?f=fpa)
/i/1358322154.png?f=fpa)
:strip_exif()/i/1239214918.gif?f=fpa)
/u/317612/icon.png?f=community){kind=icon}
/u/143137/crop5d1c4f96268ca_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/451486/crop632c3b0955a5a_cropped.jpg?f=community){kind=small}
zoiets?
/u/407403/WAhack.png?f=community){kind=small}
)
:strip_icc():strip_exif()/u/71115/plus222.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/215031/crop5db1d4fe1001f_cropped.jpeg?f=community){kind=small}
gaan vast weer 2 deprecation cycles overheen.
:strip_icc():strip_exif()/u/680577/Greyish.jpg?f=community){kind=small}