En 2019, Ryan Pickren trouvé un certain nombre de vulnérabilités dans l’iPhone qui lui a permis d’allumer la caméra et microphone sans que l’utilisateur autorise les autorisations. Pickren, doctorant au Georgia Institute of Technology, a signalé les failles de sécurité de Pomme, qui à son tour l’a corrigé et lui a versé une prime de bogue de 75 000 $.
Un rapport de 9to5Mac révèle que Pickren a trouvé une autre vulnérabilité, mais cette fois dans le Caméra Web Mac. « Mon piratage a réussi à obtenir un accès non autorisé à la caméra en exploitant une série de problèmes avec iCloud Sharing et Safari 15. Bien que ce bogue oblige la victime à cliquer sur « ouvrir » sur une fenêtre contextuelle de mon site Web, il en résulte plus qu’un simple détournement d’autorisation multimédia, Pickren a écrit sur son site Web.
Le bogue, selon Pickren, était plus dangereux car il permettait à tout pirate d’accéder à n’importe quel site Web visité par la victime. Ainsi, non seulement la caméra aurait pu être piratée, mais tout autre compte comme Gmail, Facebook ou iCloud aurait également pu être attaqué. Pickren sur son site Web a une explication détaillée de la façon dont le bogue a exploité les vulnérabilités et à quel point il était dangereux.
Il a en outre écrit sur son site qu’il avait exploré comment un défaut de conception dans une application peut permettre à une variété d’autres bogues, sans rapport, de devenir plus dangereux. « C’était aussi un excellent exemple de la façon dont même avec macOS Gatekeeper activé, un attaquant peut encore faire beaucoup de mal en incitant les applications approuvées à faire des choses malveillantes », a-t-il écrit.
C’est en juillet 2021 que Pickren a soumis ces bugs à Apple. Il dit qu’Apple a corrigé tous les problèmes et qu’il a été récompensé de 100 500 $ dans le cadre du programme Bug Bounty. Bien que cela ne soit pas confirmé, il s’agit peut-être du plus gros paiement jamais effectué par Apple dans le cadre de son programme de primes aux bogues.
