2022-10-03 分類(lèi): 網(wǎng)站建設(shè)
據(jù)The Hacker News 12月24日消息,Apple 最近修復(fù)了 macOS 操作系統(tǒng)中的一個(gè)安全漏洞,攻擊者可能會(huì)利用該漏洞“輕而易舉地”繞過(guò)“無(wú)數(shù) macOS 的基本安全機(jī)制”并運(yùn)行任意代碼。
安全研究員Patrick Wardle在上周的一系列推文中詳細(xì)介紹了這一發(fā)現(xiàn)。該漏洞被追蹤為 CVE-2021-30853(CVSS 評(píng)分:5.5),被指與流氓 macOS 應(yīng)用程序可能繞過(guò)Gatekeeper檢查的場(chǎng)景有關(guān)。原本這項(xiàng)檢查是確保只有受信任的應(yīng)用程序才能運(yùn)行,要想獲得“信任”,應(yīng)用程序必須通過(guò)稱為 "應(yīng)用程序公證 "的自動(dòng)化過(guò)程。
蘋(píng)果公司稱,Box公司的Gordon Long報(bào)告了這一漏洞,并表示,在2021年9月20日正式發(fā)布的macOS 11.6更新中,該公司通過(guò)改進(jìn)檢查功能解決了這一漏洞。
Wardle 在一篇關(guān)于該漏洞的技術(shù)報(bào)告中說(shuō):“此類(lèi)漏洞通常對(duì) macOS 用戶影響特別大,因?yàn)樗鼈優(yōu)閺V告軟件和惡意軟件攻擊者提供了繞過(guò)macOS安全機(jī)制的途徑……這些機(jī)制本來(lái)可以阻止這些惡意軟件的進(jìn)一步傳播?!?/p>
具體而言,該漏洞不僅繞過(guò)了“門(mén)衛(wèi)”,還繞過(guò)了文件隔離和 macOS 的公證要求,有效地允許看似無(wú)害的 PDF 文件只需打開(kāi)它就可以危及整個(gè)系統(tǒng)。根據(jù) Wardle 的說(shuō)法,問(wèn)題的根源在于基于腳本的未簽名、未公證的應(yīng)用程序,無(wú)法明確指定解釋器,從而導(dǎo)致其好繞過(guò)。
值得注意的是,shebang解釋器指令例如#!/bin/sh 或#!/bin/bash,通常用于解析和解釋shell 程序。但在這種邊緣攻擊中,攻擊者可以制作一個(gè)應(yīng)用程序,以便在不提供解釋器(即 #!)的情況下合并 shebang 行,并且仍然讓底層操作系統(tǒng)在不發(fā)出任何警報(bào)的情況下啟動(dòng)腳本。
Wardle 解釋說(shuō),這是因?yàn)椤癿acOS 將(重新)嘗試通過(guò) shell ('/bin/sh') 執(zhí)行失敗的 ['interpreter-less' 基于腳本的應(yīng)用程序]”。
換句話說(shuō),攻擊者可以通過(guò)誘騙目標(biāo)打開(kāi)流氓應(yīng)用程序來(lái)利用此漏洞,該應(yīng)用程序可以偽裝為 Adobe Flash Player 更新或 Microsoft Office 等合法應(yīng)用程序的木馬化版本,而這些應(yīng)用程序又可以通過(guò)一種叫做“搜索中毒”的方法來(lái)實(shí)現(xiàn),即攻擊者人為提高托管其惡意軟件所在網(wǎng)站的搜索引擎排名,以引誘潛在的受害者。
這并不是Gatekeeper程序中發(fā)現(xiàn)的首個(gè)漏洞,今年4月初,Apple 迅速修補(bǔ)了一個(gè)當(dāng)時(shí)被積極利用的零日漏洞 ( CVE-2021-30657 ),該漏洞可能繞過(guò)所有安全保護(hù)措施,從而允許未經(jīng)批準(zhǔn)的軟件在 Mac 上運(yùn)行。
之后10 月,微軟披露了一個(gè)名為“Shrootless” ( CVE-2021-30892 ) 的漏洞,該漏洞可用于執(zhí)行任意操作,提升 root 權(quán)限以及在受感染設(shè)備上安裝 rootkit。蘋(píng)果公司表示,對(duì)此漏洞已采取額外的限制措施,并在 2021 年 10 月 26 日推送的安全更新中解決了這個(gè)問(wèn)題。
分享文章:專(zhuān)家詳述macOS漏洞:可讓惡意軟件繞過(guò)安全門(mén)衛(wèi)
網(wǎng)頁(yè)地址:http://m.rwnh.cn/news29/200879.html
成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián),為您提供虛擬主機(jī)、網(wǎng)站策劃、網(wǎng)站制作、外貿(mào)建站、定制開(kāi)發(fā)、品牌網(wǎng)站設(shè)計(jì)
聲明:本網(wǎng)站發(fā)布的內(nèi)容(圖片、視頻和文字)以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主,如果涉及侵權(quán)請(qǐng)盡快告知,我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng),如需處理請(qǐng)聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載,或轉(zhuǎn)載時(shí)需注明來(lái)源: 創(chuàng)新互聯(lián)
猜你還喜歡下面的內(nèi)容