Специалист Positive Technologies обнаружил критический баг в Apple Shortcuts

[Sascha]

Эксперт Positive Technologies Егор Филатов обнаружил критическую уязвимость в приложении Shortcuts («Быстрые команды»). При успешной эксплуатации проблема позволяла злоумышленнику получить полный контроль над устройством, в том числе читать, редактировать и удалять любую информацию.

Впервые Shortcuts был представлен в macOS Monterey в 2021 году и с тех пор входит в состав Ventura, Sonoma и Sequoia. Приложение позволяет создавать быстрые команды для выполнения компьютером таких функций, как запуск таймера, воспроизведение музыки или преобразование текста в аудио.

Кроме того, пользователям доступны макросы с уже готовыми командами, чем и могли бы воспользоваться злоумышленники, загрузив в библиотеку вредоносные шаблоны. Чтобы атакующий смог воспользоваться недостатком безопасности, жертве было бы достаточно по неосторожности запустить на своем устройстве макрос, созданный атакующим.

«При успешной эксплуатации уязвимости в приложении Shortcuts злоумышленник гипотетически мог бы атаковать любого невнимательного пользователя. До исправления ошибка позволяла атакующему обойти механизмы безопасности macOS и выполнить произвольный код в операционной системе жертвы», — объясняет Егор Филатов, младший специалист группы исследования безопасности мобильных приложений, Positive Technologies.

Уязвимость была найдена в Shortcuts 7.0 (2607.1.3), получила идентификатор

Пожалуйста Авторизируйтесь или Зарегистрируйтесь для просмотра скрытого текста.

и оценивается в 9,8 балла из 10 по шкале CVSS 3.0. В настоящее время Apple уже устранила баг и подготовила соответствующее

Пожалуйста Авторизируйтесь или Зарегистрируйтесь для просмотра скрытого текста.

.

Теперь пользователям рекомендуется установить macOS Sequoia 15.5 и выше. Если обновить ОС не удается, эксперты советуют внимательно проверять перед запуском загруженные быстрые команды или вовсе отказаться от их использования.

Источник:

Пожалуйста Авторизируйтесь или Зарегистрируйтесь для просмотра скрытого текста.