Appleがパッチを2021年に延期したことを受け、研究者がSafariのデータ漏洩バグを明らかに

研究者のパウェル・ワイレシアル氏は月曜日、Appleから次期パッチは2021年春まで待たなければならないと言われたのち、Safariのバグを明らかにした。

ポーランドの研究グループREDTEAM.PLを設立したワイレシアル氏は4月にこの問題を初めて発見し、Appleに報告した。同氏は、この欠陥によってユーザー情報が漏洩し、iOSとMacの両方でデータが盗まれる可能性があると指摘したと、月曜日のブログ投稿で述べている。

ZDNetによると、このバグはAppleのWeb Share APIに起因している。Web Share APIは、ブラウザからサードパーティ製アプリケーションを介してリンク、ファイル、その他のデータを共有できるようにする新しい標準規格だ。Wylecial氏によると、Appleの実装はこのfile:仕組みをサポートしており、共有メッセージにローカルシステムのファイルが含まれる場合があるという。

ワイリシャル氏は、データ漏洩の可能性を助長するにはユーザーの操作が必要となるため、この問題のリスクは低いと述べている。しかしながら、添付ファイルは処理中にほぼ「見えない」状態になるため、ユーザーはローカルデータを共有していることに気付かない可能性があると指摘している。

ZDNetが指摘しているように、より差し迫った問題は Apple によるバグ報告の取り扱いだ。

Appleは、Wyliecialからの最初の警告を受け取ってから約1週間後に問題を分析していることを認めたが、状況の更新を求める複数の追加要請には返答がなかった。

ワイレシアル氏は8月初旬、Appleに対し、このバグは8月24日に公表されると伝えた。Appleは発表を差し控えるよう要請し、この問題は2021年春のセキュリティアップデートで修正されると説明した。ワイレシアル氏は提案されたタイムラインが不合理であると判断し、自身のブログでバグの詳細を説明した。