Уязвимость нулевого дня в macOS Finder делает возможным автоматическое выполнение кода

Исследователи безопасности обнаружили, что недавно обнаруженная уязвимость нулевого дня в компоненте Finder в macOS позволяет выполнять код и выполнять произвольные команды незаметно. Раскрытие информации было осуществлено с помощью SSD Secure Disclosure - платформы, нацеленной на ответственную отчетность и раскрытие уязвимостей поставщикам.

По словам исследователей, уязвимость связана с тем, как macOS Finder работает с файлами .inetloc. Они напоминают веб-ярлыки, используемые на компьютерах с Windows, но имеют несколько более широкую функциональность. Файл .inetloc может указывать не только на веб-сайт или URL-адрес, но и на новостные ленты или даже местоположения Telnet.

Проблема возникает из-за дополнительной функциональности, которую имеют файлы .inetloc - они могут указывать на локальные документы, которые находятся на жестком диске пользователя, с использованием того же формата файла. Это работает аналогично тому, как работают ярлыки файлов в системах Windows, где часть http: // файла .inetloc заменяется на file: //.

Злоумышленнику потребуется только создать подделанный вредоносный файл .inetloc, содержащий встроенные в него команды. После создания подделанного файла остается лишь распространить его среди достаточного количества жертв, используя кампании вредоносного спама и социальную инженерию, чтобы заставить пользователей открыть вредоносное вложение.

Важно отметить, что проблема также затрагивает macOS Big Sur - текущую версию операционной системы и не ограничивается старыми выпусками или выпусками без исправлений. Об этой проблеме на платформе SSD Secure Disclosure сообщил независимый исследователь Пак Минчан.

В ответ Apple быстро выпустила исправление, но не отправила CVE-запись об этой проблеме. Однако, по словам исследователей, исправление полностью не решило проблему.

Исправление привело к тому, что префикс file: // больше не работал, но исправление было чувствительным к регистру, что означает, что File: // все еще может обойти исправление.

ThreatPost сообщил, что нет информации об активной эксплуатации рассматриваемой уязвимости, и заявил, что они не получили ответа, когда обращались в Apple для дальнейших комментариев.