Новая брешь в обороне macOS – обнаружена новая уязвимость
Новая уязвимость была обнаружена в системах macOS. На прошедшей конференции DEF CON бывший сотрудник американского АНБ, эксперт в области информационной безопасности, а ныне основатель компании Digita Security, поставщика продуктов для решений в кибер-безопасности, Патрик Вордл, рассказал об этой проблеме. Она позволяет лишь за один виртуальный клик, не осуществляя с пользователем никакого контакта, обойти большое количество самых разных механизмов безопасности этой операционной сети.«Брешь» принадлежит к классу 0-day уязвимостей. Это значит, что у разработчиков еще нет механизмов защиты от этой проблемы, ей вполне мог воспользоваться кто-то в преступных целях.
Свое исследование проблемы, названное «Мышь сильнее, чем меч», Вордл описывает взаимодействие пользовательского интерфейса и юзера посредством «синтетических» средств. Разобравшись с кодом операционной системы, он предлагает задействовать виртуальные клики, которые будет генерировать программа, а не пользователь. Система и сама предлагает людям с ограниченными возможностями пользоваться виртуальными кликами, хотя разработчиками и были заложены механизмы защиты, чтобы предотвратить злоупотребление.
Находка оказалась случайной и возникла тогда, когда Вордл пытался скопировать несколько строк кода, а система High Sierra неверно распознала следующие события, обозначив их как авторизованный клик. Эту ошибку можно использовать, чтобы подтвердить легитимность пропуска предупреждений систем безопасности, которые запрашивают разрешение на выполнение действий.
Сам Вродл называет этот пробел в безопасности очень мощным и универсальным орудием. Ведь возможность совершить нажатие на какую-то кнопку виртуально позволяет успокоить все действующие системы безопасности, которые будут протестовать против, к примеру, установки вирусов на устройство, пока пользователь не находится за ним.
Технические подробности уязвимости не обнародованы в целях безопасности, но автор подчеркивает, что она позволяет вытащить все пароли из keychain, загрузить вредоносные расширения и вовсе получить полную свободу доступа к устройству. Последняя версия, якобы, этой проблемы уже не имела на момент выхода доклада, но есть основания полагать, что функционал будет сокращен за счет как раз-таки системы виртуальных кликов. Пользователям macOS остается лишь уповать на то, что уязвимость была обнаружена случайно, что уменьшает вероятность того, что какой-то злоумышленник успел заполучить доступ к их данным. Схвати удачу за хвост и выиграй у казино, жми по ссылке игровые автоматы columbus .