Изследовател откри изключително опасна уязвимост в Safari, Apple оцени находката на едва $1000

Apple насърчава експертите по киберсигурност да откриват и съобщават за уязвимости в нейните продукти – наградите могат да достигнат до 2 милиона долара, но един изследовател, който е идентифицирал критична уязвимост в браузъра Safari с оценка 9,8 от 10, твърди, че е получил само 1000 долара за това.

През 2022 година Apple актуализира програмата си за възнаграждения за откриване на уязвимости и обяви, че средното възнаграждение е 40 000 долара, а в 20 случая предлага шестцифрени суми за идентифициране на „сериозни проблеми“. Например, студент, който успешно хакнал камерите на Mac и iPhone е получил награда 175 000 долара. От друга страна, потребител, който открил критична уязвимост в Safari е получил само 1000 долара.

Уязвимостта с номер CVE-2025-30466 е поправена в Safari 18.4 от мартенските актуализации за iOS/iPadOS 18.4 и macOS 15.4. Става дума за универсална Cross-Site Scripting (UXSS) уязвимост, която позволява на нападателя да се представи за даден потребител и да получи достъп до неговите данни. Експертът, който я е открил, демонстрира как тя може да се използва за достъп до iCloud и приложението Камера в iOS.

Според една от версиите скромното възнаграждение от 1000 долара се обяснява с факта, че потребителят трябва да извърши действие, за да задейства експлоатирането на тази уязвимост. Степента на участие на потребителя в атаката е един от критериите, използвани при определянето на наградата. Възможно е Apple да е оценила правилно реалната заплаха от използването на уязвимостта, но опасността от ниските възнаграждения е, че може да насърчи експертите да ги продават на черния пазар, вместо да съобщават за тях на компанията.