Júliusban egy biztonsági szakértő hívta fel a figyelmet egy az Apple Safari böngészőjében található sajátos sebezhetőségre. A Jeremiah Grossman által bemutatott hiba azért keltette fel a szakma figyelmét, mert általa pofonegyszerűen lehetett megszerezni a felhasználók személyes adatait. Ehhez a program automatikus kitöltés (AutoFill) funkcióját kellett csak szóra bírni, ez ugyanis a Mac OS X operációs rendszer címtárából akkor is kikereste és egy „ügyesen kérdező” weboldalnak elárulta a felhasználói adatokat, ha azokat a böngészőbe sosem gépelték be korábban.

Az Apple egy nappal azelőtt, hogy a szakértő a Black Hat hackerkonferencián bemutatta a sérülékenységet, kiadott egy patchet a hiba befoltozására. Grossman azonban észrevette, hogy a folt nem tökéletes. Erről értesítette is a céget, ám az jó ideig nem reagált a bejelentésre.

A patch telepítése után ugyan nem olyan magától értetődő az adatok megszerzése, mint korábban, de továbbra sem bonyolult. Amint Grossman az erről szóló blogbejegyzésben írja: ezúttal két billentyű lenyomására rá kell venni a felhasználót ahhoz, hogy a böngésző az adatokat kifecsegje. Az általa felvázolt támadási forgatókönyv során a weboldal ellenőrzi – például IP-cím alapján –, hogy az internetező melyik országból érkezett. Ezt követően az adatok kinyerhetők úgy, hogy a felhasználót ráveszi: nyomja meg az ország nevének kezdőbetűjét a billentyűzeten (például az Egyesült Államok esetében az U-t), majd a TAB billentyűt. Ez utóbbi kell ahhoz, hogy a Safari ezt és egyúttal a többi adatmezőt automatikusan kitöltse.

Természetesen az adatlopásra használt weboldalon az adatmezők nem látszanának (úgy, ahogy a demonstrációs célokat szolgáló videóban), azok helyett például egy olyan játék képe jelenne meg, melyet a támadó által várt billentyűkkel lehetne elindítani. A két billentyűleütés pedig elég a Safarinak ahhoz, hogy az adatokat kiadja.

Grossman szerint ezt a sebezhetőséget nem egyszerű a funkció megtartásával megszüntetni. „Ötletem sincs arra, hogy az Apple hogy tervezi javítani a hibát. Szerencsére a biztonságra érzékeny felhasználóknak nincs szüksége patchre ahhoz, hogy megvédjék magukat: elég kikapcsolni az AutoFillt. Ez erősen ajánlott” – írja a szakember.