网易首页 > 网易号 > 正文 申请入驻

苹果修复影响Vision Pro的漏洞,网站无法再用蝙蝠轰炸用户的房间

0
分享至

IT之家 6 月 23 日消息,苹果修复了一个影响 Vision Pro 的漏洞,该漏洞允许恶意网站在用户视野中凭空生成无限量的虚拟 3D 物体,这些物体可以是成群结队的蝙蝠,并且会在用户退出 Safari 浏览器后依然存在。


该漏洞是由一位网络安全研究人员瑞恩・皮克伦 (Ryan Pickren)发现的,他表示,他表示苹果公司采取了很多措施来防范此类漏洞,但遗漏了一处关键细节:

皮克伦表示,苹果在 Vision Pro 的 App 上加入了针对此类攻击的特定防护。苹果一直非常重视保护用户在 Vision Pro 内的个人空间,防止恶意应用通过生成虚拟物品来吓唬用户。幸运的是,默认情况下,原生应用只能在可预测且易于关闭的“共享空间”内运行。

IT之家注意到,如果开发者想让应用提供更沉浸式的体验,则需要通过操作系统级别的提示征得用户同意,将应用切换到可信赖的“完整空间”模式。网站也可以通过实验性功能实现同样的效果,苹果也同样将“完整空间”的权限模型扩展到了网站上。

然而,苹果却遗漏了一项早期的增强现实 (AR) 功能。这项由苹果于 2018 年开发的功能仍然存在于 WebKit 内核(包括 visionOS 系统),它允许网站在用户视野中直接展示 3D 模型。

皮克伦发现,VisionOS 团队似乎忘记了一个旧的基于网页的 3D 模型查看标准 —— 苹果 ARKit 快速浏览 (Apple AR Kit Quick Look)。早在 2018 年,苹果刚开始涉足 AR / VR / XR 领域时,就为 iOS 开发了一种基于 HTML 的新方法,用于呈现 3D 皮克斯 (Pixar) 文件,名为“原地 USDZ 查看 (In-Place USDZ Viewing)”。

经过一些测试,皮克伦发现这项功能在 WebKit(包括 visionOS 版本)中仍然可用,甚至支持苹果 Reality Composer 创建的更现代的“.reality”文件格式。除此之外,这项功能还可以添加空间音频效果,让声音仿佛直接来自虚拟物体本身。更重要的是,这项功能默认启用,无需用户开启任何额外的实验性选项。

该漏洞的严重之处在于 Safari 浏览器并未对该功能设定任何权限控制,也不要求用户点击特定的链接。恶意网站可以通过编程让 JavaScript 自动点击链接来触发该功能,从而在用户毫无察觉的情况下生成任意数量的具有 3D 效果、动画和音效的物体。

这意味着攻击者只要让受害者访问恶意网站,就可以瞬间在 Vision Pro 中生成数百只爬行的蜘蛛和尖叫的蝙蝠,给用户带来惊吓。

皮克伦向苹果通报了该漏洞,苹果已经修复了该漏洞,并向皮克伦支付了相应的漏洞赏金。

特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。

Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.

相关推荐
热点推荐
马斯克连发三帖力挺特朗普:美国上一次出现如此强悍的候选人,还是老罗斯福

马斯克连发三帖力挺特朗普:美国上一次出现如此强悍的候选人,还是老罗斯福

封面新闻
2024-07-14 17:53:46
姜萍再次刷新认知!决赛后毅然选择外出打工,凤凰网短片说出实情

姜萍再次刷新认知!决赛后毅然选择外出打工,凤凰网短片说出实情

红丽说教育
2024-06-28 14:56:24
来沪出差打车50公里要花440元?宰客司机被罚2000元

来沪出差打车50公里要花440元?宰客司机被罚2000元

澎湃新闻
2024-07-14 22:06:06
江苏女老师江晓月,包养男学生3年,曝光后家中发现一本日记

江苏女老师江晓月,包养男学生3年,曝光后家中发现一本日记

莉雅细细谈
2023-10-19 23:30:17
美国的渗透开始奏效,扶持的内鬼纷纷在华露头,专家:全部铲除!

美国的渗透开始奏效,扶持的内鬼纷纷在华露头,专家:全部铲除!

小lu侃侃而谈
2024-06-02 21:40:53
遇到一个什么都不图的小三怎么办?网友回答一个比一个真实炸裂!

遇到一个什么都不图的小三怎么办?网友回答一个比一个真实炸裂!

热闹的河马
2024-07-12 17:54:40
郑秀文演唱会:造型一言难尽,服饰奇奇怪怪,网友们都看无语了

郑秀文演唱会:造型一言难尽,服饰奇奇怪怪,网友们都看无语了

阿桥侃娱乐
2024-07-13 21:01:23
广东天空出现“天兵天将”,千军万马整齐移动,专家称是平行宇宙

广东天空出现“天兵天将”,千军万马整齐移动,专家称是平行宇宙

蜉蝣说
2024-07-13 21:11:31
德配其位的帕维尔

德配其位的帕维尔

凡事一定有办法13119
2024-07-14 15:55:05
秀幸福的胡歌,戳穿了薛佳凝的悲惨处境,秦海璐的话终于有人信了

秀幸福的胡歌,戳穿了薛佳凝的悲惨处境,秦海璐的话终于有人信了

娱乐八卦木木子
2024-07-14 17:01:02
塞尔维亚黄鹅的悲催人生与宿命

塞尔维亚黄鹅的悲催人生与宿命

凡事一定有办法13119
2024-07-14 16:01:06
为什么外国人喜欢收养中国孤儿?网友:这才是真正的原因!

为什么外国人喜欢收养中国孤儿?网友:这才是真正的原因!

热闹的河马
2024-07-12 18:07:25
5岁孩子长期玩“玩具”,黑眼珠逐渐“消失”,医生:很难恢复了

5岁孩子长期玩“玩具”,黑眼珠逐渐“消失”,医生:很难恢复了

大果小果妈妈
2024-07-12 13:12:38
乌克兰周边的俄罗斯空军基地,乌军是不是下一步就可以开干了?

乌克兰周边的俄罗斯空军基地,乌军是不是下一步就可以开干了?

凡事一定有办法13119
2024-07-14 14:10:23
青岛市最新人事调整

青岛市最新人事调整

青岛晚报
2024-07-13 19:38:30
年轻真好!阿尔卡拉斯成为同年在法网和温网同时夺冠的最年轻球员

年轻真好!阿尔卡拉斯成为同年在法网和温网同时夺冠的最年轻球员

直播吧
2024-07-15 00:09:10
枪手在屋顶瞄准特朗普画面曝光

枪手在屋顶瞄准特朗普画面曝光

环球网资讯
2024-07-14 15:38:59
连续3枪跑进10秒10!谢震业10秒09亚军,落后东京奥运冠军0.01秒

连续3枪跑进10秒10!谢震业10秒09亚军,落后东京奥运冠军0.01秒

ALL体育
2024-07-15 06:41:19
杜兰特正式确认,快船豪掷20亿,科尔再次确定,詹姆斯表态伦纳德

杜兰特正式确认,快船豪掷20亿,科尔再次确定,詹姆斯表态伦纳德

体坛大辣椒
2024-07-15 07:28:32
枪手是如何远程射击的?为何能连开8枪?美专家怒批:最基本的安保失误

枪手是如何远程射击的?为何能连开8枪?美专家怒批:最基本的安保失误

红星新闻
2024-07-14 18:37:26
2024-07-15 09:40:49
IT之家
IT之家
爱科技,爱这里 - 前沿科技人气平台
237898文章数 605113关注度
往期回顾 全部

数码要闻

硬朗金属风格设计,华硕展示 TUG GAMING 系列 X870 ATX 主板

头条要闻

拜登就特朗普遇刺发表讲话 呼吁美国"降低政治的温度"

头条要闻

拜登就特朗普遇刺发表讲话 呼吁美国"降低政治的温度"

体育要闻

英格兰连续2届决赛折戟 凯恩生涯仍0冠

娱乐要闻

黄子韬徐艺洋官宣恋情 晒亲吻照超甜蜜

财经要闻

特朗普遇袭后 美债收益率美元指数受影响?

科技要闻

马斯克为何要"全力支持特朗普总统"

汽车要闻

宾利全新欧陆GT亮相古德伍德 第三季度开始交付

态度原创

数码
手机
艺术
健康
公开课

数码要闻

苹果MacBook或引入3D芯片堆叠技术 体积更小性能更强

手机要闻

vivo夺冠,小米第二,OPPO第三,这是什么榜单?

艺术要闻

穿越时空的艺术:《马可·波罗》AI沉浸影片探索人类文明

人类为何至今无法攻克渐冻症?

公开课

连中三元是哪三元?

无障碍浏览 进入关怀版