蘋果Vision Pro 曝出嚴重漏洞，駭客可透過使用者眼動輸入竊取訊息

近日，蘋果公司的Vision Pro 混合實境頭戴式裝置曝出一個安全漏洞，一旦被駭客成功利用，他們就可以推斷出用戶在該裝置的虛擬鍵盤上輸入的具體資料。

該攻擊活動名為GAZEploit，該漏洞被追蹤為CVE-2024-40865。

佛羅裡達大學的學者對此表示：這是一種新穎的攻擊，因為攻擊者可以從頭像圖片中推斷出與眼睛有關的生物特徵，從而重建透過注視控制輸入的文字。 GAZEploit攻擊利用了用戶共享虛擬化身時凝視控製文字輸入的固有漏洞。

在該漏洞披露後，蘋果在2024 年7 月29 日發布的visionOS 1.3 中解決了這個問題。根據蘋果描述，該漏洞影響了一個名為「Presence 」的組件。

該公司在安全公告中說：虛擬鍵盤的輸入可能是從Persona 推斷出來的，主要透過「在虛擬鍵盤啟動時暫停Persona 」來解決這個問題。

研究人員發現，駭客可以透過分析虛擬化身的眼球運動或「凝視」來確定配戴裝置的使用者在虛擬鍵盤上輸入的內容，極易導致使用者的隱私外洩。

假設駭客可以分析透過視訊通話、線上會議應用程式或直播平台共享的虛擬化身，並遠端執行按鍵推斷，那麼他們就可以利用這一點提取用戶鍵入的密碼等敏感資訊。

攻擊主要是透過對Persona 記錄、眼球長寬比（EAR）和眼球注視估計進行訓練的監督學習模型來完成的，以區分打字會話和其他VR 相關活動（如觀看電影或玩遊戲）。虛擬鍵盤上的注視方向會被對應到特定的按鍵上，以便確定潛在的按鍵方式，同時也考慮到鍵盤在虛擬空間中的位置。

研究人員表示：透過遠端捕捉和分析虛擬化身視頻，攻擊者可以重建用戶鍵入的按鍵。目前，GAZEploit 是該領域首個已知利用洩漏的注視資訊遠端執行按鍵推斷的攻擊方式。