Vulnerabilidad de privacidad en Apple Patcher Vision Pro | DKCERT
Apple lanzó un parche para Vision Pro después de que investigadores demostraran cómo un atacante podría espiar contraseñas observando las pulsaciones de teclas de los ojos.
Esto es lo que escribe Security Week en un artículo que deja a uno con la impresión de que pronto ya no habrá nada que no sea secreto. Ni siquiera los mismos movimientos oculares.
Sí, es curioso, pero en realidad es el caso de esta vulnerabilidad recién descubierta en los auriculares de Apple: Apple Vision Pro.
Presione con los ojos
El caso es que Vision Pro está diseñado para que los usuarios puedan «escribir» utilizando un teclado virtual y centrarse en cada tecla que quieran pulsar. Como si hubieran usado sus dedos para presionar un teclado normal.
Con este método, investigadores de la Universidad de Florida y la Universidad Tecnológica de Texas han descubierto y demostrado un método de ataque que se puede utilizar para inferir lo que escribe un usuario de Vision Pro siguiendo el movimiento ocular de su avatar. El método se llama GAZEploit.
En el universo de Apple Vision Pro, un avatar es lo que otros ven durante videollamadas, reuniones y transmisiones en vivo y se conoce como una «representación natural de los movimientos de la cara y las manos del usuario en el entorno de Vision Pro». Luego, los investigadores descubrieron que los movimientos oculares del avatar se pueden utilizar para reconstruir las teclas que presionan en el teclado virtual Vision Pro. Entonces, siguiendo la mirada del usuario y conectándola al teclado, puedes ver lo que el usuario está escribiendo. Y no ocurrió sólo en un caso, sino en una prueba con una gama de datos razonablemente amplia. El ataque GAZEploit se ha probado con datos recopilados de 30 personas. En este caso, los investigadores lograron lo que se llama «precisión significativa» cuando los usuarios escribieron mensajes, contraseñas, URL, correos electrónicos y códigos PIN).
Los investigadores explican que durante la escritura con la mirada, los ojos de los usuarios cambian entre las teclas y se fijan en la tecla en la que se debe hacer clic. Esto da como resultado «sacadas» seguidas de fijaciones. En términos médicos, las sacudidas se refieren al período en el que los usuarios mueven su mirada rápidamente de un objeto a otro. Las fijaciones se refieren al período de tiempo que los usuarios miran fijamente un objeto. Los investigadores han desarrollado un algoritmo que calcula la estabilidad del recorrido de la mirada y establece un umbral para clasificar las fijaciones de las sacádicas. Según el análisis, esto da una precisión y una tasa de recuperación del 85,9% y del 96,8% al identificar las pulsaciones de teclas.
La vulnerabilidad, con el ID CVE-2024-40865, se solucionó con el lanzamiento de visionOS 1.3. El problema es suspender la persona cuando el teclado virtual está activo.
DKCERT no ha logrado encontrar una puntuación CVSS, pero CVEdetails.com afirma que hay un 0,04 por ciento. probabilidad de actividad de explotación en los próximos 30 días. El llamado EPSS (sistema de puntuación de la probabilidad de explotación)
En el departamento casi igualmente curioso, Security Week menciona que este no es el primer hack de Vision Pro. Así, un investigador demostró recientemente cómo un atacante puede generar objetos arbitrarios en una habitación (específicamente, murciélagos y arañas) simplemente haciendo que el usuario visite un sitio web.
Sí, lo verás.
Campo de golf:
https://www.securityweek.com/apple-patches-vision-pro-vulnerability-to-p…