Обнародованы детали уязвимости безопасности, которая была исправлена и затрагивала гарнитуру смешанной реальности Apple Vision Pro. В случае успешной атаки злоумышленники могли бы перехватить данные, вводимые с виртуальной клавиатуры устройства.
Атака получила название GAZEploit и была зарегистрирована под идентификатором CVE CVE-2024-40865. Согласно исследованию, проведенному специалистами из Университета Флориды, команды CertiK Skyfall и Техасского технологического университета, GAZEploit позволяет получить биометрические данные, связанные с движением глаз, чтобы восстановить текст, набранный пользователем с помощью взгляда.
Уязвимость связана с текстовым вводом через взгляд, который используется, когда пользователи делятся своим аватаром в виртуальном пространстве. Apple устранила эту проблему в обновлении VisionOS 1.3, выпущенном 29 июля 2024 года. Проблема затрагивала компонент Presence, а решение состояло в отключении функции Persona во время активного использования виртуальной клавиатуры.
Исследователи выявили, что отслеживание движения глаз аватара может использоваться для определения текста, вводимого пользователем через виртуальную клавиатуру, что ставит под угрозу конфиденциальность данных. Злоумышленники могут использовать это для анализа аватаров во время видеозвонков, онлайн-встреч или стриминговых платформ и восстанавливать нажатые клавиши, что дает им доступ к конфиденциальной информации, включая пароли.
GAZEploit использует машинное обучение на основе данных о движениях глаз, включая показатели соотношения сторон глаз (EAR) и направление взгляда, чтобы различать ввод текста и другие действия в виртуальной реальности, такие как просмотр фильмов или игры.
Далее направление взгляда пользователя на виртуальной клавиатуре сопоставляется с конкретными клавишами для определения нажатий, с учетом позиции клавиатуры в пространстве.
Исследователи подчеркнули, что с помощью видео виртуального аватара злоумышленники могут дистанционно восстановить последовательность вводимых символов. Атака GAZEploit стала первой известной техникой, использующей информацию о движении глаз для удалённого определения нажатий клавиш.
