苹果树立影响Vision Pro的疏忽, 网站无法再用蝙蝠轰炸用户的房间

IT之家6月23日音信，苹果树立了一个影响VisionPro的疏忽，该疏忽允许坏心网站在用户视线中造谣生成无尽量的虚拟3D物体，这些物体不错是缕缕行行的蝙蝠，何况会在用户退出Safari浏览器后依然存在。

该疏忽是由一位相聚安全商议东谈主员瑞恩・皮克伦(RyanPickren)发现的，他暗示，他暗示苹果公司遴荐了许多法子来防护此类疏忽，但遗漏了一处关节细节：

皮克伦暗示，苹果在VisionPro的App上加入了针对此类膺惩的特定防护。苹果一直相配喜爱保护用户在VisionPro内的个东谈主空间，谨防坏心行使通过生成虚拟物品来吓唬用户。运道的是，默许情况下，原生行使只可在可瞻望且易于关闭的“分享空间”内运行。

IT之家夺目到，要是设备者念念让行使提供更千里浸式的体验，则需要通过操作系统级别的教唆征得用户本心，将行使切换到真的赖的“好意思满空间”花式。网站也不错通过实验性功能终了相通的恶果，苹果也相通将“好意思满空间”的权限模子彭胀到了网站上。

但是，苹果却遗漏了一项早期的增强践诺(AR)功能。这项由苹果于2018年设备的功能仍然存在于WebKit内核（包括visionOS系统），它允许网站在用户视线中径直展示3D模子。

皮克伦发现，VisionOS团队似乎健忘了一个旧的基于网页的3D模子稽查表率——苹果ARKit快速浏览(AppleARKitQuickLook)。早在2018年，苹果刚开动涉足AR/VR/XR鸿沟时，就为iOS设备了一种基于HTML的新法子，用于呈现3D皮克斯(Pixar)文献，名为“原地USDZ稽查(In-PlaceUSDZViewing)”。

历程一些测试，皮克伦发现这项功能在WebKit（包括visionOS版块）中仍然可用，以致复古苹果RealityComposer创建的更当代的“.reality”文献表情。除此以外，这项功能还不错添加空间音频恶果，让声息仿佛径直来自虚拟物体自己。更进军的是，这项功能默许启用，无需用户开启任何独特的实验性选项。

该疏忽的严重之处在于Safari浏览器并未对该功能设定任何权限放手，也不条件用户点击特定的一语气。坏心网站不错通过编程让JavaScript自动点击一语气来触发该功能，从而在用户毫无察觉的情况下生成纵情数目的具有3D恶果、动画和音效的物体。

这意味着膺惩者唯有让受害者走访坏心网站，就不错已而在VisionPro中生成数百只爬行的蜘蛛和尖叫的蝙蝠，给用户带来惊吓。

皮克伦向苹果通报了该疏忽，苹果依然树立了该疏忽，并向皮克伦支付了相应的疏忽赏金。