Хакеры уже обошли экстренное исправление безопасности macOS от Apple
яблоко
Apple недавно исправила критическую уязвимость macOS, которая позволяет хакерам запускать произвольный код через вложения электронной почты. К сожалению, этот патч неаккуратный и его очень легко обойти. Владельцам Mac следует избегать открытия вложений электронной почты с расширением inetloc, пока Apple не выпустит надлежащее исправление.
Файлы ярлыков Интернета, называемые файлами inetloc в macOS, предназначены для перенаправления пользователей на веб-страницы. Например, вы можете создать файл inetloc, перетащив URL-адрес на рабочий стол. Но из-за ошибки в macOS хакеры могут встраивать пригодный для использования код в файлы inetloc. Этот код запускается без предупреждения при открытии уязвимого файла, предоставляя простой способ атаковать пользователей macOS по электронной почте.
Программирование эксплойта требует небольшого опыта работы с компьютером. Видите ли, файлы inetloc содержат URL-адреса, которые обычно начинаются с http:// или https://. Но по недосмотру Apple файлы inetloc указывают на расположение file:// в вашей компьютерной системе. Небольшая строка кода в файле inetloc может позволить хакеру запустить программное обеспечение или вредоносную полезную нагрузку в вашей системе.
Исследователь Пак Минчан обнаружил эксплойт в начале этой недели. Apple быстро выпустила исправление после того, как SSD Secure Disclosure сообщил об уязвимости, хотя несколько технических изданий и эксперты по безопасности считают, что этого исправления недостаточно.
Как сообщает Ars Technica, аварийный патч, выпущенный Apple, не позволяет macOS запускать файлы inetloc, начинающиеся с префикса file://. Но патч чувствителен к регистру. Замена любой части файла:// заглавной буквой полностью обходит исправление.
Это дилетантская работа от Apple. Это то, что вы ожидаете от стажера в небольшой компании. И, честно говоря, это тревожный признак того, что Apple не относится к безопасности так серьезно, как утверждает. Думаю, именно поэтому мы давно не видели рекламный щит «все, что происходит на вашем iPhone, остается на вашем iPhone».
Источник: Ars Technica, Apple Insider .