یک صدمه‌پذیری در برنامه‌های مایکروسافت برای macOS به هکرها اجازه می‌دهد از کاربران مک جاسوسی کنند. محققان امنیتی Cisco Talos در پستی وبلاگی گزارش دادند که مهاجمان چطور می‌توانند از این صدمه‌پذیری سوءاستفاده کنند و مایکروسافت برای از بین بردن این اکسپلویت‌ها چه اقداماتی انجام داده است.

به گزارش سایت رسمی Cisco Talos، یک گروه امنیت سایبری متخصص در بدافزارها و پیشگیری از سیستم، جزئیاتی را درمورد این که چطور یک صدمه‌پذیری در برنامه‌هایی همانند Microsoft Outlook و Teams به مهاجمان اجازه می‌دهد بدون رضایت کاربر به میکروفون و دوربین مک دسترسی اشکار کنند، به اشتراک گذاشت. این دعوا مبتنی بر تزریق کتابخانه‌های مخرب به برنامه‌های مایکروسافت برای به‌دست‌آوردن مجوزهای اعطاشده توسط کاربر است.

مطابق حرف های Cisco Talos، مایکروسافت این سوءاستفاده را «کم‌خطر» می‌داند؛ چون برای حمایتاز افزونه‌های شخص ثالث به بارگیری کتابخانه‌های بدون امضا متکی است.

عمل مایکروسافت برای از بین بردن حفره امنیتی برنامه‌هایش در مک

بعد از انتشار کردن گزارش سوءاستفاده‌ها، مایکروسافت برنامه‌های Microsoft Teams و OneNote را برای macOS با تغییراتی در نحوه مدیریت این برنامه‌ها به‌روزرسانی کرد. بااین‌حال، اکسل، پاورپوینت، ورد و Outlook هم چنان در برابر این اکسپلویت صدمه‌پذیرند.

مک اواس اپل چارچوبی به نام رضایت و کنترل شفاف (TCC) دارد که مجوزهای برنامه را برای دسترسی به مواردی همانند خدمات مکان، دوربین، میکروفون، عکس‌های کتابخانه و دیگر فایل‌ها مدیریت می‌کند.

هر برنامه برای خواست مجوز از TCC باید علت موجهی داشته باشد. برنامه‌های این چنین دلیلی نداشته باشند، مجوز نمی‌خواهند و در نتیجه به دوربین و دیگر تکه‌های رایانه دسترسی نخواهند داشت. بااین‌حال، این صدمه‌پذیری به نرم‌افزارهای مخرب اجازه داد تا از مجوزهای اعطاشده به برنامه‌های مایکروسافت منفعت گیری کنند.

محققان توضیح خواهند داد:

«ما هشت صدمه‌پذیری را در برنامه‌های گوناگون مایکروسافت برای macOS شناسایی کردیم که از طریق آن‌ها مهاجم می‌تواند با منفعت گیری از مجوزهای حاضر، مدل مجوز سیستم‌عامل را دور بزند، بدون این که از کاربر قبول اضافی خواست کند.»

به گفتن مثال، یک هکر می‌تواند نرم‌افزار مخربی برای ضبط صدا از میکروفون یا حتی عکس‌گرفتن بدون هیچ گونه تعامل از سوی کاربر تشکیل کند. این گروه در آخر او گفت: «همه برنامه‌ها، به جز اکسل، قابلیت ضبط صدا دارند، برخی حتی می‌توانند به دوربین دسترسی داشته باشند.»