Уязвимость Vision Pro позволяла наводнить виртуальную комнату пауками

Уязвимость Vision Pro позволяла наводнить виртуальную комнату пауками

Уязвимость Vision Pro позволяла наводнить виртуальную комнату пауками

В ОС Apple для очков Vision Pro была обнаружена уязвимость, позволяющая обойти все ограничения и напугать пользователя, наполнив его виртуальное пространство анимированными и озвученными летучими мышами, пауками, змеями.

Независимый исследователь Райан Пикрен (Ryan Pickren) сообщил разработчикам о своей забавной находке в феврале этого года. Две недели назад вышло обновление visionOS с патчем (1.2), а багхантер получил денежное вознаграждение.

 

Согласно описанию в блоге Пикрена, уязвимость CVE-2024-27812 возникла из-за упущения при реализации системы разрешений на вмешательство в персональное виртуальное пространство. Выход приложения за рамки разделяемого пространства возможен лишь с явно выраженного согласия юзера — в Safari всплывает диалоговое окно.

 

Для сайтов действует такая же схема, и соответствующие кнопки выводятся во всплывающем окне Safari. Как оказалось, разработчики забыли таким же образом ограничить просмотр веб-контента дополненной реальности с использованием AR Quick Look.

 

Между тем поддержка этой технологии до сих пор присутствует в движке WebKit, в том числе в сборке visionOS. Более того, с помощью AR Quick Look можно просматривать более современные файлы формата .reality, созданные спецкомпоновщиком Apple, а также добавлять пространственное звучание для еще большего правдоподобия 3D-объектов. 

Эксплойт взаимодействия с пользователем не требует. На специально созданный сайт добавляется нехитрый код — и в виртуальном пространстве жертвы оживут сотни отвратительных созданий, которые волей автора атаки будут издавать зловещие звуки.

Поскольку файлы вывода анимации в данном случае обрабатывает отдельное приложение (Quick Look), избавиться от этого кошмара, закрыв браузер, невозможно.

Жалобы на Ozon и Wildberries можно будет отправлять через Госуслуги

Роспотребнадзор и Минцифры запустили эксперимент по созданию электронной книги жалоб на платформе «Госуслуги». Идея простая: если маркетплейс не спешит решать проблему покупателя, жалобу можно будет подать онлайн без бумажной волокиты и походов по инстанциям.

По данным Роспотребнадзора, новый механизм должен помочь гражданам решать типовые споры с продавцами на маркетплейсах в досудебном порядке. Проект реализуется в рамках федеральной инициативы «Государство для людей».

Пока речь идёт о покупках на Ozon и Wildberries. Пользователи смогут пожаловаться на товары ненадлежащего качества, проблемы с возвратом и задержки с перечислением денег. Ответ от владельца агрегатора будет приходить прямо в личный кабинет на «Госуслугах».

Через платформу можно будет сообщить, например, об отказе принять товар обратно в течение семи дней после покупки, если условия возврата соблюдены. Также в список типовых ситуаций вошли отказ вернуть стоимость товара и нарушение сроков возврата денег за отменённый заказ.

Запуск выглядит вполне своевременным: жалоб на маркетплейсы и связанные с ними сервисы доставки у пользователей хватает. Ранее россияне массово жаловались на доставку Ozon. Одна из клиенток рассказала, что часть её посылки была вскрыта, из восьми коробок не хватило четырёх, а некоторые вещи пропали. Другие пользователи тоже сообщали о похожих случаях.

Теперь такие истории хотят хотя бы частично вытащить в более формализованный канал. Насколько это ускорит решение проблем, покажет эксперимент.

RSS: Новости на портале Anti-Malware.ru