O pesquisador de segurança Will Strafach detectou uma surpresa no aplicativo do Uber par iOS: a capacidade de registrar tudo que é exibido na tela através de uma funcionalidade não documentada pela Apple.
A gigante do iPhone e do iPad teria concedido ao aplicativo de transporte urbano um privilégio de acesso jamais concedido antes a produto de terceiros e que abriria um perigoso vetor para brechas de segurança.
A funcionalidade com.apple.private.allow-explicit-graphics-priority permite que desenvolvedores tanto escrevam quanto leiam as informações do framebuffer, um setor da memória do dispositivo que guarda dados dos pixels de exibição da tela. Embora esse tipo de acesso garanta que aplicativos sempre consigam escrever no framebuffer para gerar a renderização, é extremamente raro que eles tenham também permissão de leitura.
Na prática, isso significa que o aplicativo do Uber seria, em teoria, capaz de capturar o que é exibido na tela a qualquer momento, mesmo com o aplicativo fechado. De acordo com desenvolvedores que trabalham com o ecossistema da Apple, o Uber foi o único a obter esse tipo de privilégio. Para especialistas de segurança, isso tornaria o aplicativo um alvo para cibercriminosos, interessados em assumir o controle e herdar suas permissões sem o conhecimento do usuário.
A Apple não se manifestou sobre os motivos que levaram a empresa a conceder esse tipo de privilégio para o Uber, principalmente depois dos atritos que aconteceram no passado entre as duas empresas.
De acordo com o Uber, a funcionalidade nunca foi utilizada. Ela faria parte de uma integração entre o aplicativo e o Apple Watch e serviria para renderizar mapas em segundo plano no smartphone que depois seriam enviados para o relógio inteligente. O recurso foi removido do Apple Watch, mas parte do código permaneceu no aplicativo para iOS. O Uber avisou que a API será removida imediatamente em uma próxima atualização do aplicativo.
