Raziskovalci so v Safariju v iOS-u in OS-u X odkrili izkoriščanje URL-ja za ponarejanje URL-jev, ki omogoča napadalcem, da uporabnike nagajajo, da mislijo, da obiskujejo zaupanja vredna spletna mesta, ko dejansko obiščejo povsem drug naslov. Kramp se lahko uporablja za lažno predstavljanje in distribucijo zlonamerne programske opreme.
Raziskovalci so ustvarili dokazilo o uporabi koncepta, ki prikazuje, kako deluje napad. Ko uporabniki kliknejo na povezavo, jim naslovna vrstica Safari sporoči, da obiščejo www.dailymail.co.uk - naslov priljubljenega britanskega časopisa. V resnici pa obiskujejo povsem drugačen URL.
"Demo koda ni popolna, " razlaga Ars Technica. »Na preizkušenem iPad Mini Ars je naslovna vrstica občasno osveževala naslov, ko se je zdelo, da se stran znova nalaga. Takšno vedenje lahko bolj spodbudi uporabnike, da je nekaj narobe. "
Kljub temu pa bi lahko veliko drugih uporabnikov Safarija zavedlo, da mislijo, da obiskujejo pristna spletna mesta, kar ima resne posledice. Napadalci bi lahko ustvarili spletno mesto, na primer oblečeno kot PayPal, in ukradli vaše podatke za prijavo - in nato svoj denar.
Izkoriščanje ne deluje v drugih brskalnikih, kot so Chrome, Firefox in Internet Explorer.
Ars pojasnjuje, da se JavaScript uporablja za vodenje Safarija do enega URL-ja - tistega, ki se odraža v naslovni vrstici -, nato pa ga prisili, da hitro naloži drug URL, preden se izpiše izvirna stran.
Apple se bo rad lotil takšne pomanjkljivosti, ki jasno ogroža uporabnike Safarija in njihove podatke. Upajmo, da bomo v naslednji posodobitvi Safarija videli popravek in na to nam ne bo treba čakati predolgo.