Sebuah bukti konsep (proof of concept) telah dipublikasikan secara daring untuk mengeksploitasi masalah pada mesin WebKit, yang digunakan antara lain oleh peramban Safari. Setelah memuat halaman HTML yang berisi kode CSS khusus, iOS akan hang dan memuat ulang.
Masalah ini dieksploitasi melalui efek CSS backdrop-filter yang diterapkan pada seluruh elemen div di halaman. Filter latar belakang adalah fitur baru dalam CSS yang memungkinkan Anda mengaburkan atau mengubah warna pada area di belakang sebuah elemen. Operasi semacam ini membutuhkan sumber daya yang sangat besar, hal yang sudah lama menjadi perhatian sebagian pengembang.
Validitas peringatan tersebut dibuktikan selama akhir pekan oleh Sabri Haddouche, pengembang sekaligus pakar keamanan yang menemukan masalah ini. Sang peneliti membagikan PoC exploit tersebut lewat Twitter, serta mengunggah video demonstrasi serangan yang membuat ponsel pintar ter-reset. Bergantung pada versi sistem operasinya, serangan ini dapat menyebabkan sekadar restart dan pemuatan ulang antarmuka pengguna, atau memicu kernel panic yang juga berujung pada restart.
— Sabri (@pwnsdx) 15 septembre 2018
Sang peneliti juga membuat halaman khusus untuk menunjukkan cara kerja masalah tersebut.
Dalam hal ini, Haddouche menyatakan bahwa bug tersebut tidak hanya memengaruhi iOS, tetapi juga dapat berdampak buruk pada macOS. Menurut sang peneliti, dalam bentuknya saat ini (hanya HTML dan CSS), serangan ini membuat Safari “membeku” dan memperlambat macOS selama sekitar satu menit, dan baru setelah itu pengguna dapat menutup tab bermasalah tersebut.
Serangan yang lebih serius pada versi desktop peramban akan memerlukan modifikasi exploit dan penambahan Javascript. Namun, sang peneliti tidak berani mempublikasikan exploit tersebut, karena masalahnya tetap ada bahkan setelah perangkat di-restart: Safari memuat ulang halaman berbahaya itu dan siklusnya pun berulang kembali.
Sang pakar telah memberi tahu para insinyur Apple tentang kerentanan ini dan mereka menyatakan sedang menyelidiki masalah tersebut.
