Поделиться
Эксперт Positive Technologies обнаружил уязвимость в приложении Apple Shortcuts
Эксперт PT SWARM Егор Филатов обнаружил критически опасную уязвимость в приложении Shortcuts («Быстрые команды»). Это предустановленная программа в операционной системе macOS, которая ускоряет управление устройством, автоматизируя повторяющиеся пользовательские действия. При успешной эксплуатации дефект безопасности мог бы позволить злоумышленнику получить полный контроль над компьютером, в частности читать, редактировать и удалять любую информацию. Если захваченный ноутбук был бы подключен к корпоративной сети, атакующий смог бы проникнуть во внутреннюю инфраструктуру компании.
Уязвимость BDU:2025-02497 получила оценку 9,8 балла из 10 по шкале CVSS 3.0 и содержалась в версии Shortcuts 7.0 (2607.1.3). Вендор был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление ПО. Пользователям необходимо установить macOS Sequoia 15.5 и выше. Если обновить ОС не удается, эксперт Positive Technologies рекомендует перед запуском внимательно проверять загруженные быстрые команды или вовсе отказаться от их использования.
Shortcuts впервые появились в программном обеспечении macOS Monterey еще в 2021 г. и на протяжении четырех лет сохраняются в версиях Ventura, Sonoma и Sequoia. Приложение позволяет создавать быстрые команды для выполнения компьютером таких функций как запуск таймера, воспроизведение музыки или преобразование текста в аудио. Пользователям также доступны макросы с уже готовыми командами, чем и могли бы воспользоваться злоумышленники, загрузив в библиотеку зараженные шаблоны. Чтобы атакующий смог воспользоваться недостатком безопасности, жертве было бы достаточно по неосторожности запустить на своем устройстве макрос, созданный нарушителем.
«При успешной эксплуатации уязвимости в приложении Shortcuts злоумышленник гипотетически мог бы атаковать любого невнимательного пользователя, — сказал Егор Филатов, младший специалист группы исследования безопасности мобильных приложений, Positive Technologies. — До исправления ошибка позволяла атакующему обойти механизмы безопасности macOS и выполнить произвольный код в операционной системе жертвы».
Среди возможных последствий успешных атак эксперт выделил: кражу конфиденциальных данных или удаление ценной информации; запуск вредоносного ПО; создание бэкдоров с целью сохранить доступ к системе даже после исправления дефекта безопасности; установку шифровальщиков; нарушение бизнес-процессов организации, если при проникновении было задействовано корпоративное устройство.
Эксперты Positive Technologies исследуют продукты Apple в течение последних десяти лет. В 2018 г. Максим Горячий и Марк Ермолов во время поиска уязвимостей в подсистеме Intel Management Engine выявили дефект безопасности CVE-2018-4251 в прошивке персональных компьютеров, в частности производства Apple. В 2017 г. Тимур Юнусов предупредил комьюнити о нескольких обнаруженных им уязвимостях в платежной системе Apple Pay. Пробелы в защите позволяли злоумышленникам скомпрометировать банковские карты пользователей и проводить неавторизованные платежи на внешних ресурсах. Ранее еще один исследователь из Positive Technologies нашел и помог устранить опасную уязвимость на сайте apple.com, которая могла бы дать злоумышленнику возможность провести атаку «Обход каталога» и получить доступ к закрытым данным жертв.
Помимо Shortcuts для macOS, существует версия программы для iOS, которая устанавливается на мобильные устройства. Чтобы злоумышленники не могли проникнуть в корпоративную сеть через уязвимые мобильные приложения, компаниям важно защищать их от реверс-инжиниринга. Помочь в этом может сервис PT MAZE, который превращает приложение в непроходимый лабиринт и делает атаку для злоумышленников слишком ресурсозатратной.
Поделиться
Короткая ссылка
