近日，Dropbox團隊公開披露了有關蘋果macOS操作系統中三個零日漏洞的詳細信息。並指出，如果攻擊者將這三個漏洞結合起來使用，則可能會導致Mac用戶失去對自己設備的控制權。
Dropbox團隊表示，這三個漏洞分別被追蹤為CVE-2017-13890、CVE-2018-4176和CVE-2018-4175。三者結合使用，將賦予攻擊者在目標Mac電腦上遠程執行任意代碼的能力。為了實現這一點，攻擊者只需要誘騙受害者訪問一個精心設計的惡意網站即可。
根據Dropbox團隊的說法，這幾個漏洞是由網絡安全公司Syndis的安全專家發現的。以該公司受僱於Dropbox，對Dropbox的IT基礎設施進行滲透測試，而這其中就包括對Dropbox所使用的蘋果軟件進行安全評估。
需要指出的是，這幾個漏洞早在今年2月份就已經提交給了蘋果安全團隊，而蘋果公司也在在3月份發佈的安全更新中對它們進行了修復。因此，我們強烈建議Mac用戶應該養成及時更新系統的好習慣。
Dropbox團隊表示，這些漏洞會影響到所有運行最新版本Safari瀏覽器和操作系統的Mac電腦。其中，CVE-2017-13890影響的是macOS CoreTypes組件，在處理惡意網頁時會導致自動掛載磁盤映像。CVE-2018-4176源於磁盤映像處理.bundle文件的方式，安裝惡意磁盤映像可能導致應用程序的啟動。CVE-2018-4175則允許攻擊者使用惡意設計的應用程序繞過macOS Gatekeeper安全功能。
其實，從Dropbox團隊對這三個漏洞的描述我們就可以看出，攻擊者完全可以這三個漏洞來繞過代碼簽名，並執行修改後的終端應用程序版本，從而最終導致任意命令執行。
為此，攻擊者只需要誘騙受害者使用Safari訪問惡意網頁，然後將這三個漏洞結合起來使用，就可以實現劫持受害者Mac電腦的目的。
本文由 黑客視界 綜合網絡整理，圖片源自網絡；轉載請註明“轉自黑客視界”，並附上鍊接。
閱讀更多 黑客視界 的文章
