Outro dia, outra vulnerabilidade. Desta vez, ele afeta o macOS Big Sur, bem como as versões anteriores do macOS. Mais preocupante, a falha de segurança permanece sem correção, de acordo com um relatório em Ars Technica . A vulnerabilidade de segurança é significativa, permitindo a execução de código por um invasor remoto.
O pesquisador de segurança independente Park Minchan descobriu o falha de segurança, que permite que os hackers incorporem comandos em arquivos de atalho com a extensão inetloc.
Esses arquivos inetloc são arquivos de atalho da Internet que geralmente contêm detalhes do servidor e informações de conexão normalmente inócuos. Os usuários abrem esses arquivos esperando que eles abram um site, por exemplo. Eles não esperam que o arquivo execute algum código aleatório.
A vulnerabilidade explora como o macOS lê o conteúdo dos arquivos inetloc. Em vez de usar HTTPS://para um navegador da web, os hackers podem substituir file://e executar um arquivo no computador do usuário.
A Apple estava ciente dessa falha e bloqueou a adição do prefixo file://nesses arquivos de atalho da Internet. A Apple achou que tinha as bases cobertas, mas a gigante de Cupertino esqueceu a diferenciação entre maiúsculas e minúsculas.
Minchan descobriu que, embora o macOS tenha bloqueado o arquivo://, ele não interrompeu a versão em maiúscula do Arquivo://.
Ars testou esta vulnerabilidade e lançou o aplicativo calculadora a partir de um arquivo inetloc contendo oito linhas de código. Iniciar o aplicativo calculadora é benigno. Infelizmente, a falha é muito mais permissiva. Um hacker habilidoso pode facilmente abrir pastas de sistema e outras pastas que contêm código malicioso baixado para a máquina do usuário.
Minchan relatou a falha à Apple usando o SSD Secure Programa de divulgação . A Apple não comentou publicamente sobre a vulnerabilidade, mas esperamos que a empresa lance um patch de segurança no futuro.
Os usuários do macOS devem ter cuidado ao abrir arquivos de atalho da Internet, especialmente aqueles enviados por e-mails não solicitados. Eles também devem aplicar as atualizações assim que forem lançadas.
