Sabri Haddouche é o nome do pesquisador de segurança que revelou no Twitter, no último fim de semana, os resultados de uma prova de conceito em que ele demonstra que, adicionando algumas linhas de código CSS e HTML a um site, é possível fazer com que um iPhone, iPad ou macOS sejam travados e reiniciados.

A vulnerabilidade explorada está em um efeito CSS chamado backdrop-filter do Webkit, uma ferramenta de renderização que usa o navegador Safari. Ao adicionar certos elementos no código, o mesmo consume todos os recursos gráficos e isso resulta no travamento do sistema operacional. No macOS a interface é travada, enquanto que no iOS o dispositivo é reiniciado.

Além disso, o ataque afeta todos os navegadores do iOS (Chrome, Edge e Safari), considerando que usam o mecanismo de renderização do Webkit.

No vídeo a seguir publicado pelo pesquisador em sua conta no Twitter, podemos ver na prática o resultado da exploração da vulnerabilidade:

Haddouche garantiu na imprensa que a Apple está ciente da falha. Por outro lado, o bug depende da versão do dispositivo com qual o usuário abre o site. O pesquisador realizou a prova de conceito em um iOS 12 e o sistema foi reiniciado, ele destacou (no Twitter) para um usuário que fez o teste em uma versão 7 (que não teve problemas) que a falha afeta apenas as versões 9 em diante.

O pesquisador explicou para o BleepingComputer que também desenvolveu um modelo adicional usando HTML, CSS e JavaScript que trava completamente computadores macOS. No entanto, o modelo não foi lançado porque persiste mesmo após a reinicialização e devido ao fato de que o macOS executa novamente o Safari com a página maliciosa, fazendo com que o dispositivo seja novamente travado.

Embora essa descoberta não cause a perda de informações ou o roubo de dados, é uma falha que pode afetar os usuários.