IT之家 8 月 20 日消息，網絡安全公司 Cisco Talos 最近發(fā)現，macOS 版微軟 365 應用存在八個漏洞。黑客可以利用這些漏洞繞過 macOS 的權限模型，無需用戶額外驗證，即可利用現有應用權限執(zhí)行惡意操作。簡單來說，黑客可以在未經用戶許可的情況下，發(fā)送電子郵件、錄制音頻、拍照或錄像。
據IT之家了解，這些漏洞基于代碼注入技術，即惡意代碼被插入到合法進程中，從而訪問受保護的資源。蘋果的 macOS 系統本身就具備“強化運行時（Hardened Runtime）”等安全功能來防御代碼注入。該功能會阻止應用程序加載未經蘋果簽名或與主應用程序團隊 ID 不匹配的框架、插件或庫。然而，開發(fā)人員可以通過設置“com.apple.security.cs.disable-library-validation”權限為 true 來繞過此功能。由于微軟的 macOS 應用啟用了此設置，從而導致了這 8 個新漏洞的出現。
Talos 將這些漏洞通報給了微軟團隊，微軟回應稱這些漏洞風險較低。由于微軟這些應用程序需要允許加載未簽名的庫來支持插件功能，因此無法修復這些漏洞。不過，微軟已經為以下不支持插件的應用修復了漏洞：
微軟 Teams（工作或學校）應用
微軟 Teams（工作或學校）網頁版
微軟 Teams（工作或學校）桌面版
微軟 OneNote
然而，以下四個應用仍然存在漏洞：
微軟 Excel
微軟 Outlook
微軟 PowerPoint
微軟 Word
廣告聲明：文內含有的對外跳轉鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時間，結果僅供參考，IT之家所有文章均包含本聲明。