زمانی که یک کاربر از یک لینک مخرب استفاده کند، یک مهاجم می‌تواند با استفاده از برخی آسیب پذیری‌های روز صفر و عدم آگاهی کاربران نسبت به کلیک بر روی لینک‌های ناشناخته موفق به هک کردن وبکم این دستگاه‌ها تنها با یک کلیک شوند. .با استفاده از مدل امنیتی دوربین iOS و MacOS ، هر برنامه باید به صورت دستی مجوز اختصاص دهد اما برنامه شخصی اپل مانند Safari بصورت پیش فرض دسترسی پیدا می‌کند.
رایان پیکرن، یک محقق امنیتی است که هفت آسیب پذیری جدید را با مرورگر Safari کشف کرد که به مهاجمان اجازه می‌دهد به دوربین، میکروفون یا مکان دستگاه شما دسترسی پیدا کنند، و در برخی موارد رمزهای عبور را نیز ذخیره می‌کنند.
وی شروع به سوءاستفاده با استفاده از JavaScript: data: کرد مرورگرسافاری این URL را معتبر پذیرفته و همان محتوارا مجدداً reload کرده است. این فرآیند بدان معنی است که فرد توانسته فقط با استفاده از این ترفند، domain را تغییر دهد.
شناسه این آسیب پذیری CVE-2020-3885
بنابراین اکنون مرورگر Safari تصور می‌کند که وب سایت مربوطه به skype9.0com متصل است، با باز کردن فایل‌های لوکال محلی توسط کاربران قربانی، مهاجمان می‌توانند اسکریپتی مخرب را اجرا کنند و به دوربین ، میکروفون و اشتراک گذاری صفحه دسترسی پیدا کنند.
وی یک باگ دیگر با شناسه‌های(CVE-2020-9784 & CVE-2020-3887) یافت و توانست ممانعت از auto-download مرورگر Safari که یه فرآیند امنیتی است را bypass کند.
با استفاده از blob: //skype.com URI می‌توان یک پنجره را ایجاد کرد و از آن برای اجرای JavaScript دلخواه استفاده کرد. همچنین می‌تواند با استفاده از باگ‌های موجود، به دوربین iOS / macOS ، میکروفون یا مکان و در برخی موارد رمزهای ذخیره شده دسترسی پیدا کند
CVE-2020-3852 – A logic issue was addressed with improved validation.
CVE-2020-3864 – A DOM object context may not have had a unique security origin
CVE-2020-3865 – A top-level DOM object context may have incorrectly been considered secure
CVE-2020-3885 – File URL processed incorrectly.
CVE-2020-3887 – A download’s origin may be incorrectly associated
CVE-2020-9784 – Malicious iframe use another website’s download settings
CVE-2020-9787 – Hostnames with a dash (-) and period (.) are ignored
تمامی آسیب پذیری های کشف شده توسط محقق امنیتی در به روزرسانی های ژانویه و مارس وصله می‌شوند و محقق امنیتی 75،000 دلار برای کشف باگ‌ها دریافت می‌کند.
iOS/macOS Webcam Can be Hacked With A Single Click On Malformed Link – Hacker Rewarded $75,000