아마야 토만 White Hat 해커들은 밴쿠버에서 열린 보안 컨퍼런스에서 Safari 브라우저에서 두 가지 보안 결함을 발견했습니다. 그 중 하나는 Mac을 완전히 제어할 수 있을 정도로 권한을 조정할 수도 있습니다. 발견된 버그 중 첫 번째는 샌드박스를 떠날 수 있다는 점이었습니다. 샌드박스는 애플리케이션이 자체 데이터와 시스템 데이터에만 액세스할 수 있도록 허용하는 가상 보안 조치입니다.
대회는 Amat Cama와 Richard Zhu로 구성된 Fluoroacetate 팀에 의해 시작되었습니다. 팀은 특히 Safari 웹 브라우저를 표적으로 삼아 성공적으로 공격하고 샌드박스를 떠났습니다. 전체 작업은 팀에 할당된 시간 제한의 거의 전부를 차지했습니다. 코드는 두 번째에만 성공했으며 버그를 보여줌으로써 Team Fluoroacetate는 $55를 획득하고 Master of Pwn 타이틀을 향해 5포인트를 얻었습니다.
두 번째 버그는 Mac에서 루트 및 커널 액세스를 허용하는 것으로 나타났습니다. 이 버그는 phoenhex & qwerty 팀에서 시연되었습니다. 팀 구성원은 자신의 웹사이트를 검색하는 동안 JIT 버그를 활성화한 후 전체 시스템 공격으로 이어지는 일련의 작업을 수행했습니다. Apple은 버그 중 하나에 대해 알고 있었지만 버그를 시연하여 참가자는 $45와 Master of Pwn 타이틀에 대한 4포인트를 얻었습니다.
컨퍼런스의 주최자는 ZDI(Zero Day Initiative)라는 기치 아래 Trend Micro입니다. 이 프로그램은 해커들이 취약점을 엉뚱한 사람에게 판매하는 대신 회사에 직접 비공개적으로 보고하도록 장려하기 위해 만들어졌습니다. 재정적 보상, 인정, 직위는 해커에게 동기를 부여해야 합니다.
이해관계자는 필요한 정보를 ZDI에 직접 전송하고 ZDI는 공급자에 대해 필요한 데이터를 수집합니다. 이니셔티브에 직접 고용된 연구원은 특수 테스트 실험실에서 자극을 확인한 다음 발견자에게 보상을 제공합니다. 승인 후 즉시 지급됩니다. 첫날, ZDI는 전문가에게 240달러 이상을 지불했습니다.
Safari는 해커의 일반적인 진입점입니다. 예를 들어 작년 컨퍼런스에서는 브라우저가 MacBook Pro의 Touch Bar를 제어하는 데 사용되었으며, 같은 날 행사 참석자들은 다른 브라우저 기반 공격을 시연했습니다.
드로이 : ZDI
