“假名”黑客曝 macOS 新漏洞,将影响 2002 年后所有 Mac 设备

雷锋网消息,就在 2017 年的最后一天,一名使用“Siguza”假名的安全研究人员在互联网上发布了一个macOS系统漏洞,该漏洞对 2002 年以来所有 Mac 操作系统设备都会产生影响。

截至目前,Siguza 还没有将此事通知苹果公司,因此在本文发稿时,这个漏洞都还没有被修复。

虽然 macOS遭受了一些“厄运”,但目前来看,该漏洞还只是本地特权升级漏洞,只能通过本地访问计算机、或是黑客已经“控制”了计算机之后,才能进行攻击。而且,相关漏洞需要赋予黑客 root用户的访问权限。

漏洞会影响 IOHIDFamily macOS 内核驱动程序

雷锋网发现,本次发现的漏洞会影响 IOHIDFamily macOS内核驱动程序,它是用来处理各种用户交互类型的程序组建。

Siguza表示,他访问了这个组件里的各种漏洞,也进行了深入研究,并且已经找到了“新手段”来破坏苹果公司的移动操作系统 iOS ——因为 iOS 也部署了 IOHIDFamily 内核驱动程序。这位安全专家表示,他还发现了专用于 macOS 版本的 IOHIDFamily 代码中有 LPE(本地提权) 漏洞。

虽然 Siguza 没有联系苹果公司,但是他写了一份非常详细的报告,阐述了黑客可以利用这些漏洞入侵用户电脑。Siguza 还在 1 月 1 日发布了一条推文,对这件事情做出了立场澄清,他表示:

“我的主要目的是为了让人们了解这件事情,我不会把漏洞卖给黑客,因为我不想帮助他们。但是现在,我还没有把这些漏洞提交给苹果公司,但是如果漏洞被远程利用,我会联系苹果公司。”

按照 Siguza 的说法,这个漏洞很容易被利用,而且会在计算机注销操作中被触发。这意味着,用户无论何时注销、重新启动或关闭电脑,攻击者都能在计算机上获得 root 访问权限。事实上,这些都是日常发生的常见操作,甚至不需要通过社交工程来利用漏洞。

安全更新可能不会那么及时

外媒 Bleeping Computer 已经就此事联系了苹果公司,希望他们对这个漏洞问题作出评论。但由于目前是节日期间,所以苹果公司可能不会在接下来的几天内发布安全更新。

另外,LEP 漏洞并不被认为是关键性漏洞,所以苹果公司可能也不会发布紧急更新来解决这个问题,而是很可能在之后酌情处理。

雷锋网VIA

bleepingcomputer

本文来自企鹅号 - 雷锋网媒体

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏FreeBuf

从5月11号网易被攻击谈起:新型DDoS攻击LFA

5月11日晚上9时许,网易的大量用户发现访问网易新闻出现问题,相应的,有很多游戏用户报告说游戏掉线严重。一时间,有关“网易大楼着火”的谣传甚嚣。晚上9点42分的...

1986
来自专栏腾讯云安全的专栏

Apache Struts2漏洞又来, 腾讯云WAF一键防御

1778
来自专栏FreeBuf

iOS最新更新修复了多个安全问题,包括KRACK漏洞

苹果最近发布了iOS 11.1和macOS High Sierra 10.13.1版本,修复了一些问题,更新了70多个新的表情,并且对多个安全问题进行了修复。除...

2509
来自专栏FreeBuf

思科修复云服务平台重大漏洞

近日,思科修复了云服务产品线上包括云服务平台(CSP),可扩展 Firepower 操作系统(FXOS),NX-OS软件以及一些小型企业 IP 电话上的高危漏洞...

2237
来自专栏FreeBuf

一个有20年历史的SMB漏洞:一台树莓派就能DoS大型服务器,微软表示不会修复该漏洞

绝大部分 DoS 攻击,一般来说都是目标系统收到大量服务请求,最终导致拒绝服务状态。实际上,随着技术的发展,如果要让现在的系统“拒绝服务”,是需要海量请求配合的...

3474
来自专栏SDNLAB

基于Neutron实现AWS VPC-Peering的方案讨论

VPC(全称是Virtual Private Cloud,做网络的同学尤其注意,不是思科vPC的virtual Port Channel)是AWS的云平台概念,...

3186
来自专栏pangguoming

国外物联网平台(1):亚马逊AWS IoT

设备影子服务使用MQTT话题,便于应用和设备之间的通信,下面是相关的MQTT QoS 1话题:

1282
来自专栏企鹅号快讯

macOS被曝新漏洞!黑客可随时获得访问权限,iPhone将受此影响!

2017 年的最后一天,一名使用“Siguza”假名的安全研究人员在互联网上发布了一个macOS系统漏洞,该漏洞对 2002 年以来所有 Mac 操作系统设备都...

1907
来自专栏FreeBuf

2017 OWASP Top 10十大安全漏洞候选出炉,你怎么看?

OWASP(开放式Web应用程序安全项目)近日公布2017 OWASP Top10(十大安全漏洞列表),增加了2个新分类。 背景介绍 OWASP项目最具权威的...

1876
来自专栏FreeBuf

黑客正在利用Firefox的0day漏洞攻击Tor用户(含Exploit)

根据最新的消息,安全研究专家发现了一个0day漏洞,攻击者或可利用该漏洞在Tor和Firefox浏览器用户的计算机中执行恶意代码。 ? 就在几天前,Tor官网上...

1886

扫码关注云+社区