Sabri Haddouche es el nombre del investigador en seguridad que dio a conocer a través de twitter el pasado fin de semana los resultados de una prueba de concepto en la que demuestra que, añadiendo unas líneas de código CSS y HTML a un sitio web, fuerza el reinicio o que colapse un iPhone, iPad o macOS.

La vulnerabilidad explotada está en un efecto CSS llamado backdrop-filter de Webkit, una herramienta de renderización que utiliza el navegador Safari. Al añadir ciertos elementos en el código logra que se consuman todos los recursos gráficos y esto deriva en que el sistema operativo se congele. En macOS la interfaz se congela, mientras que en iOS el dispositivo se reinicia.

Asimismo, el ataque afecta a todos los navegadores en iOS (Chrome, Edge y Safari), ya que todos utilizan el motor de renderización Webkit.

En el siguiente video que publicó el investigador en su cuenta de Twitter se puede ver en la práctica el resultado de la explotación de la vulnerabilidad:

Haddouche aseguró a distintos medios que Apple está al tanto del fallo. Por otra parte, depende de la versión del dispositivo la forma en que actuará al abrir el sitio web. En este sentido, el investigador lo probó en un en un iOS 12 y el sistema se reinició, mientras que según confirmó a través de Twitter a un usuario que hizo la prueba en una versión 7 y no tuvo problemas, el bug afecta a las versiones 9 en adelante.

Según explico a BleepingComputer, también desarrolló un modelo adicional utilizando HTML, CSS y JavaScript que congela por completo computadoras macOS. Pero no lo lanzó debido a que persiste incluso luego de reiniciarse y porque macOS ejecutará nuevamente Safari con la página maliciosa nuevamente, haciendo que se vuelva a congelar.

Si bien este hallazgo no provoca la pérdida de información o el robo de datos, igualmente se trata de un fallo que puede afectar a los usuarios.