Kritična WebKit ranjivost omogućava daljinsko izvršavanje kôda

WebKit ranjivost otkrio je sigurnosni istraživač Joseph Goydish, identifikujući kritičan propust u Apple WebKit mehanizmu. Ova ranjivost posebno pogađa internet pregledače trećih strana na iOS 26.2, pa samim tim naglašava važnost bezbjednosnih mjera. Posljedice ovakve ranjivosti mogu biti ozbiljne, jer otvaraju mogućnost ugrožavanja podataka korisnika i narušavanja stabilnosti sistema.

Kritična WebKit ranjivost omogućava daljinsko izvršavanje kôda; Source: Bing Image Creator

WEBKIT RANJIVOST

Otkriće kritične ranjivosti u Apple WebKit mehanizmu ukazuje na ozbiljnu grešku prekoračenja cijelih brojeva u iOS 26.2. Ona može da omogući zlonamjernim akterima da sruše internet pregledač ili izvršavaju proizvoljni kôd na najnovijim iOS uređajima, naročito ako se iskoristi zajedno sa drugim propustima.

Prekoračenja cijelih brojeva predstavljaju klasične programske greške koje, ukoliko se ne otklone, mogu izazvati dalekosežne posljedice. U ovom slučaju problem nastaje prilikom izračunavanja ograničenja memorije za ArrayBuffer, TypedArray i WebAssembly operacije unutar JavaScriptCore (JSC) mehanizma.

JSC mehanizam je ključna komponenta Safari internet pregledača, kao i svih internet pregledača trećih strana na iOS operativnom sistemu. Upravo zbog toga on postaje privlačna meta za zlonamjerne aktere koji nastoje da iskoriste ranjivosti na ovim platformama.

Funkcionisanje

Ranjivost Apple WebKit mehanizma potiče iz klasične softverske greške koja nastaje kada sistem pokuša da sačuva podatke u memorijskom međuspremniku (eng. buffer) koji prelazi njegov kapacitet, pa se sadržaj “preliva” u susjedne oblasti.

U WebKit mehanizmu problem se javlja množenjem indeksa veličinom elementa tokom raspodjele memorije. Kada rezultat dostigne ili prevaziđe 32-bitnu granicu (oko 4 GB), sistem omogućava zlonamjernim akterima da zahtijevaju memorijsku adresu koja prolazi početne provjere, ali ukazuje na lokacije izvan bezbjedne zone.

Takva situacija aktivira Gigacage, mehanizam za bezbjednosno razdvajanje koji prekida WebContent proces čim otkrije pokušaj prekoračenja, čime se sprečava dalja šteta ili neovlašteni pristup. Ipak, sigurnosni istraživač je primijetio da Gigacage ima ograničenja kada se suoči sa odlučnim zlonamjernim akterima. Ako se ranjivost iskoristi, dolazi do korupcije memorije, što omogućava manipulaciju objektima smještenim uz preplavljeni međuspremnik.

U ekstremnim slučajevima, takvo iskorištavanje može dovesti do daljinskog izvršavanja kôda (eng. remote code execution – RCE) korištenjem tehnike “Vtable hijacking”, gdje zlonamjerni akteri oštećuju pokazivače virtuelnih funkcija kako bi preuzeli kontrolu nad pokazivačem instrukcija uređaja. Ovaj scenario naglašava potrebu za stalnom budnošću i proaktivnim mjerama zaštite od novih prijetnji.

Izvještaj ukazuje da ranjivost pogađa ne samo iOS uređaje već i macOS sisteme koji rade na Sequoia (macOS verzija 15.x). Pošto svi internet pregledači trećih strana moraju koristiti WKWebView mehanizam, i oni su podložni iskorištavanju.

Potvrda greške u iOS 26.2 (Build 23C55) na iPhone 14 Pro Max predstavlja opipljiv dokaz njenog postojanja i potencijalnog uticaja. Dodatnu ozbiljnost problema naglašava činjenica da je sigurnosni istraživač uspio da demonstrira propust koristeći svega nekoliko redova JavaScript kôda.

UTICAJ

Ranjivost u WebKit mehanizmu predstavlja ozbiljno narušavanje odnosa povjerenja između korisnika i digitalnih platformi na koje se oslanjaju. Kada se pojavi propust ovakvih razmjera, neposredna posljedica je pojačan osjećaj nesigurnosti u pogledu bezbjednosti svakodnevnih interakcija sa uređajima. Korisnici koji zavise od pametnih telefona i računara za komunikaciju, bankarstvo i lično upravljanje suočavaju se sa izgledom narušene privatnosti i umanjenim povjerenjem u pouzdanost svojih sistema.

Organizacije se suočavaju sa drugačijom, ali jednako ozbiljnom dimenzijom posljedica. Ranjivost potkopava stabilnost poslovnih tokova zasnovanih na aplikacijama koje koriste internet pregledač. Poslovna okruženja koja se oslanjaju na digitalne platforme radi produktivnosti, saradnje i odnosa sa klijentima izložena su rizicima koji mogu ugroziti kontinuitet poslovanja. Osjećaj krhkosti u široko korišćenim sistemima pretvara se u štetu po ugled za organizacije koje ne mogu da garantuju bezbjedno digitalno iskustvo.

Ekonomske posljedice su značajne. Kompanije mogu doživjeti prekide u pružanju usluga, što vodi ka gubitku prihoda i zategnutim odnosima sa klijentima. Za korisnike, potencijalno izlaganje osjetljivih podataka stvara finansijsku nelagodu, jer se lični podaci doživljavaju kao nesigurni. Ovaj dvostruki pritisak na pojedince i institucije dodatno pojačava razornu snagu ranjivosti.

Iznad finansijskih briga, ranjivost mijenja psihološki pejzaž digitalne interakcije. Korisnici počinju da dovode u pitanje integritet platformi koje su nekada smatrali pouzdanim. Ovo nagrizanje povjerenja prenosi se i na organizacije, koje se suočavaju sa klijentima sve skeptičnijim prema digitalnim uvjeravanjima. Nematerijalni trošak umanjenog povjerenja može biti jednako štetan kao i direktan finansijski gubitak.

ZAKLJUČAK

WebKit ranjivost pokazuje da se u samoj osnovi softverskog ekosistema može pojaviti greška koja, iako naizgled jednostavna, nosi dalekosežne posljedice. Prekoračenje cijelih brojeva u proračunima memorije nije samo usamljen propust, već znak da i najdublji slojevi sistema mogu postati tačke nestabilnosti. Time se otvara pitanje pouzdanosti temelja na kojima počiva arhitektura savremenih uređaja.

Posebnu težinu ovoj grešci daje njena sveobuhvatnost: svi pregledači na iOS i macOS operativnim sistemima oslanjaju se na isti mehanizam. Propust se ne zadržava u jednom programu, već se širi kroz čitav ekosistem. Jedinstveni tehnički oslonac, iako praktičan, istovremeno stvara jedinstvenu tačku slabosti.

Pojava WebKit ranjivosti otkriva i granice postojećih zaštitnih slojeva. Gigacage, zamišljen kao brana protiv zloupotreba memorije, pokazuje da odbrambeni mehanizmi mogu biti probijeni kada se suoče sa odlučnim napadačem. Sama prisutnost zaštite ne znači potpunu otpornost, jer ranjivost ostaje sve dok osnovni uzrok nije uklonjen. Upravo zbog toga, dok ispravki još nije dostupna, preporučuje se smanjenje oslanjanja na Safari i WebKit, pažljivo praćenje bezbjednosnih obavještenja i korištenje dodatnih slojeva zaštite poput blokiranja reklama, virualnih privatnih mreža (VPN) i drugih mjera koje mogu ublažiti rizik.

Demonstracija iskorištavanja pomoću nekoliko redova kôda ukazuje na nesrazmjer između složenosti sistema i jednostavnosti napada. Kompleksnost arhitekture ne garantuje sigurnost; naprotiv, upravo ta složenost može postati osjetljiva na najmanje poremećaje.

Na kraju, ova ranjivost ukazuje na krhkost povjerenja u temeljne komponente. Kada jezgro koje pokreće brojne aplikacije postane ranjivo, posljedice se šire kroz čitav ekosistem. Stabilnost osnovnih mehanizama time postaje ne samo tehničko pitanje, već i pitanje održivosti cijelog softverskog okruženja.