חוקרים גילו לאחרונה ליקויי אבטחה בשני דפדפני אינטרנט עבור MacOS המאפשר להאקרים לקבל גישה למכשירי Mac. הפגם הראשון הרים את ראשו בספארי במהלך היום הראשון של Pwn2Own 2018, והעניק להאקר שליטה מלאה ב-Touch Bar. בינתיים, צ'ק פוינט מחקר נתקלה בבאג מגעיל ב-Google Chrome המעניק גישה לחשבון הניהול או לכל חשבון משתמש אחר ללא צורך בסיסמה.
ראשון למעלה, סמואל "5aelo" גרוס מ פינהקס התמקד בספארי במהלך ניסיון הפריצה שלו ל-Pwn2Own באמצעות הליבה של MacOS Elevation of Privileges, כלומר הוא מצא דרך לקבל הרשאה להשתמש במשאבים השמורים רק לרמה הנמוכה ביותר של MacOS שאפילו מנהלי מערכת לא יכולים גִישָׁה. הוא עשה זאת על ידי ניצול באג באופטימיזציית מהדר Just-in-Time (JIT) מבוסס Java של Safari בשילוב עם פגם בפלטפורמת MacOS.
סרטונים מומלצים
"הוא השתמש בשילוב של באג אופטימיזציה של JIT בדפדפן, באג לוגי של macOS כדי לברוח מארגז החול, ולבסוף החלפת ליבה לביצוע קוד עם סיומת ליבה כדי לנצל בהצלחה את אפל ספארי," יוזמת יום אפס מסבירה קצת יותר ביסודיות. "הוא השאיר לנו הודעה בסרגל המגע ברגע שהוא הושלם."
בינתיים, התגלית של צ'ק פוינט מחקר
ב-Google Chrome אין שום קשר לאירוע Pwn2Own 2018. במקום זאת, אחד מנתחי האבטחה של החברה ציין "התנהגות בלתי צפויה" בעת בחינת רכיב שולחן העבודה המרוחק של דפדפן Chrome של גוגל עבור MacOS. הוא שם לב שהוא יכול להיכנס למכשיר ה-Mac המרוחק כמשתמש אורח, אבל לקפוץ להפעלה פעילה אחרת, אפילו כזו שבה השתמש המנהל, מבלי להזין סיסמה.כפי שמסביר הדוח, בדרך כלל יש מישהו שנכנס למכשיר MacOS אך נעול עם סיסמה כאשר אינו בשימוש. בתורו, לאורחים אין למעשה חשבון: הם יכולים פשוט לגשת למכשיר ה-Mac ללא סיסמה והם בדרך כלל מוגבלים באיזשהו אופן על ידי מנהל המערכת. כל הקבצים שנוצרו על ידי האורח מאוחסנים בתיקייה זמנית ונמחקים ברגע שהם מתנתקים מהמכשיר.
עם זאת, אם אורחים ניגשים ל-Mac מרחוק באמצעות התוסף של Chrome, הם רואים מסך המציג את שדה הזנת הסיסמה של המשתמש הנוכחי ואפשרות להיכנס כאורח. לאחר לחיצה על סמל האורח והמשיך למסך הבית, האורח יראה את שולחן העבודה של המשתמש הנוכחי ולא את חשבון האורח הזמני בארגז החול. בינתיים, מכשיר המקור של MacOS מציג את חשבון האורח על המסך שלו.
החברה אמרה שהיא דיווחה לגוגל על בעיית כרום ב-15 בפברואר, אך ענקית מנועי החיפוש מאמינה שמסך הכניסה לשולחן עבודה מרוחק אינו " גבול בטחוני." בלי קשר, צ'ק פוינט מחקר חשה צורך לפרסם את הנושא בפומבי, בהינתן שבעלי Mac רבים מספקים גישה לאורחים שלהם מכשירים.
של Chrome רכיב שולחן עבודה מרוחק היא דרך שימושית לפתור בעיות במחשב של קרוב משפחה מרוחק או לתפוס קבצים מהבית. לפחות שני מחשבים צריכים להתקין את Chrome, כאשר אחד משמש כמחשב "מקור" המספק קוד גישה למחשב השני.
המלצות עורכים
- סקירת בטא ציבורית של macOS Sonoma: יותר מסתם שומרי מסך
- האם ה-Mac שלי יקבל macOS 14?
- ניצול קריטי זה יכול לאפשר להאקרים לעקוף את ההגנות של ה-Mac שלך
- האם macOS מאובטח יותר מ-Windows? לדוח תוכנה זדוני זה יש את התשובה
- הדבר היחיד שהגרסה הבאה של macOS צריכה לטפל בו
שדרג את אורח החיים שלךמגמות דיגיטליות עוזרות לקוראים לעקוב אחר עולם הטכנולוגיה המהיר עם כל החדשות האחרונות, ביקורות מהנות על מוצרים, מאמרי מערכת מעוררי תובנות והצצות מיוחדות במינן.
