Сегодня 14 сентября 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Теги → spotlight

Microsoft нашла уязвимость в macOS, позволявшую обойти защиту TCC и украсть данные пользователя

Специалисты Microsoft Threat Intelligence обнаружили уязвимость в системе поиска Spotlight, встроенной в macOS, которая позволяла злоумышленникам получать доступ к конфиденциальным данным пользователей. Эксперты компании назвали этот метод атаки Sploitlight, поскольку он использует плагины Spotlight для обхода защитных механизмов Apple.

По сообщению MacRumors, проблема заключалась в возможности обхода системы Transparency, Consent, and Control (TCC), предназначенной для контроля доступа приложений к личной информации. Уязвимость позволяла злоумышленникам извлекать кешированные данные, включая точные геолокационные сведения, метаданные фото и видео, информацию о распознавании лиц из медиатеки, историю поиска, ИИ-сводки писем и пользовательские настройки. Несмотря на то, что Apple изолирует плагины Spotlight в так называемой песочнице и ограничивает их доступ к защищённым файлам, исследователи Microsoft нашли способ модифицировать набор приложений, которые Spotlight использует для индексации, что позволяло извлекать содержимое защищённых файлов.

Microsoft оперативно уведомила Apple о найденной уязвимости, и разработчики исправили её в обновлениях macOS Sequoia 15.4 и iOS 18.4, выпущенных 31 марта. По данным компаний, эксплойт не был использован в реальных атаках, поскольку проблема была устранена до публичного раскрытия. В документации к обновлению Apple указала, что уязвимость устранили за счёт улучшенной фильтрации данных.

Помимо этого, Apple исправила две другие уязвимости, обнаруженные Microsoft. Они связаны с проверкой символических ссылок и управлением состоянием системы.


window-new
Soft
Hard
Тренды 🔥
Китай начал расследование политики США в сфере полупроводников, точнее, даже два расследования 50 мин.
В свежем топ-10 самых продаваемых смартфонов оказалось пять iPhone, четыре Galaxy и Xiaomi Redmi 14C 9 ч.
Китайские учёные запихнули ДНК в кассету и создали накопитель нового поколения ёмкостью до 36 Пбайт 10 ч.
Nintendo воскресила провальную VR-консоль Virtual Boy из 1995 года, но теперь это аксессуар для Switch 10 ч.
Облачные Mac'и с Nitro: AWS запустила инстансы EC2 M4 Mac и M4 Pro Mac 12 ч.
Затраты на строительство дата-центров в США бьют рекорды 12 ч.
Microsoft расширит вычислительные мощности для обучения собственных ИИ-моделей 12 ч.
Разработана технология производства сверхминиатюрных чипов с использованием B-EUV-литографии 13 ч.
Власти США добавили в «чёрный список» две китайские компании, через которые SMIC обходила санкции 18 ч.
The Boring Company приостановила прокладку туннеля в районе Лас-Вегаса после инцидента с травмой рабочего 18 ч.