Avec Safari 5.0.1 et Safari 4.1.1, Apple a réglé une faille dans le mécanisme de remplissage automatique qui permettait de récupérer des données personnelles (lire : Safari : une grosse faille avec le remplissage automatique). Las, Jeremiah Grossman, qui avait mis au jour cette première faille, vient d'en découvrir une autre, exploitant là encore la fonction de remplissage automatique des formulaires.
Cette nouvelle faille de sécurité n'est pas aussi automatique que la précédente (elle nécessite l'entrée d'un caractère puis l'utilisation de la touche Tab pour activer le remplissage automatique), mais a les mêmes conséquences : la récupération des informations de remplissage automatique.
Cette faille sera plus compliquée à boucher que la précédente : Safari 5.0.1 et 4.1.1 différencient les caractères entrés automatiquement par un script JavaScript, et les caractères entrés par l'utilisateur. La première faille utilisait un script pour activer le remplissage automatique. Cette faille-ci montre que le remplissage automatique peut être attaqué sur son principe même : l'entrée d'une lettre par l'utilisateur lui-même (par exemple la première lettre de son prénom), puis l'utilisation de la touche Tab pour valider la suggestion faite par le système.
Grossman explique d'ailleurs que la remontée des bogues au sein d'Apple n'est pas particulièrement rapide : une semaine après avoir trouvé cette seconde faille, il a reçu un appel d'un ingénieur avec qui il aurait eu un échange « productif ». Problème : cet ingénieur Apple appelait au sujet de la correction de la première faille, trouvée deux mois plus tôt, et ne savait même pas que quelques jours plus tôt, Grossman avait alerté Apple au sujet d'une deuxième faille…
Cette nouvelle faille de sécurité n'est pas aussi automatique que la précédente (elle nécessite l'entrée d'un caractère puis l'utilisation de la touche Tab pour activer le remplissage automatique), mais a les mêmes conséquences : la récupération des informations de remplissage automatique.
Cette faille sera plus compliquée à boucher que la précédente : Safari 5.0.1 et 4.1.1 différencient les caractères entrés automatiquement par un script JavaScript, et les caractères entrés par l'utilisateur. La première faille utilisait un script pour activer le remplissage automatique. Cette faille-ci montre que le remplissage automatique peut être attaqué sur son principe même : l'entrée d'une lettre par l'utilisateur lui-même (par exemple la première lettre de son prénom), puis l'utilisation de la touche Tab pour valider la suggestion faite par le système.
Grossman explique d'ailleurs que la remontée des bogues au sein d'Apple n'est pas particulièrement rapide : une semaine après avoir trouvé cette seconde faille, il a reçu un appel d'un ingénieur avec qui il aurait eu un échange « productif ». Problème : cet ingénieur Apple appelait au sujet de la correction de la première faille, trouvée deux mois plus tôt, et ne savait même pas que quelques jours plus tôt, Grossman avait alerté Apple au sujet d'une deuxième faille…
