加QQ81758415
快捷导航

苹果MacOS 0-Day漏洞:允许黑客通过合成点击绕过安全功能

2019-6-4 08:00| 发布者: xlbck| 查看: 63| 评论: 0|原作者: xlbck

摘要: 近期,一位安全研究人员绕过了苹果的MacOS隐私功能,再次发现了一种绕过安全警告的新方法。 去年6月,苹果推出了MacOS的核心安全功能,这使得所有应用程序在访问系统上的敏感数据或组件(包括设备摄像头 ...

近期,一位安全研究人员绕过了苹果的MacOS隐私功能,再次发现了一种绕过安全警告的新方法。

去年6月,苹果推出了MacOS的核心安全功能,这使得所有应用程序在访问系统上的敏感数据或组件(包括设备摄像头或麦克风、位置数据、消息和浏览历史记录)之前都必须获得用户的许可(“允许”或“拒绝”)。对于那些没有意识到这一点的人来说,“合成点击”是程序化的、不可见的鼠标点击,是由软件程序而不是人工生成的。

MacOS本身具有内置的合成单击功能,但作为残疾人以非传统方式与系统界面交互的辅助功能。因此,该功能只适用于苹果批准的应用程序,防止恶意应用程序滥用这些程序性点击。

然而,当时的安全研究员Patrick Wardle在macOS中发现了一个关键的漏洞,它可能允许安装在目标系统上的恶意应用程序在没有任何用户交互或实际同意的情况下虚拟地“点击”安全提示按钮。

尽管苹果在公开披露数周后就解决了这一问题,但Wardle再次公开展示了一种新的解决方法,允许应用程序执行“合成点击”,在没有明确许可的情况下访问用户的私人数据。

Wardle告诉《黑客新闻》,在莫哈韦,MacOS检查白名单应用程序完整性的方式存在一个验证缺陷。操作系统检查应用程序的数字证书是否存在,但无法验证应用程序是否被篡改。

“系统尝试在这些允许的白名单应用程序上验证/验证尚未被破坏,但它们的检查存在缺陷,这意味着攻击者可以破坏其中的任何一个应用程序,并添加/注入代码以执行任意合成点击,例如与Mojave中的安全/隐私警报交互以访问用户的位置、麦克风、网络摄像头、照片。“短信/通话记录,”Wardle告诉黑客新闻。

此外,“这些(白名单)应用程序不必出现在系统中。攻击者可以将其中一个白名单中的应用程序带到系统中(可能是预先颠覆的),并在后台运行,以生成点击。”在蒙特卡洛举行的SEA会议上,Wardle在客观上证明了零日漏洞的同时,滥用了苹果批准的应用程序之一vlc player,将他的恶意软件作为未签名的插件,并以编程方式在同意提示上执行合成点击,而实际上不需要任何用户的交互。Wardle将新的合成点击漏洞称为“第二阶段攻击”,这意味着攻击者需要远程访问受害者的MacOS计算机,或者已经安装了恶意应用程序。

Wardle上周向苹果公司报告了他的调查结果,苹果公司确认收到了他的报告,但不清楚该公司何时计划修补这一问题。

原文链接:https://thehackernews.com/2019/06/macOS-synthetic-click.html


鲜花

握手

雷人

路过

鸡蛋
黑客技术

让创业更简单

  • 反馈建议:hackhl@outlook.com
  • 客服电话:暂时没有
  • 工作时间:周一到周五9点~22点

云服务支持

黑客联盟,快速搜索

关注我们

Copyright 黑客联盟安全防护网  Powered by©  技术支持:    ( 闽ICP备18000419号-1 )