IT之家 8 月 20 日消息，網(wǎng)絡(luò)安全公司 Cisco Talos 最近發(fā)現(xiàn)，macOS 版微軟 365 應(yīng)用存在八個(gè)漏洞。黑客可以利用這些漏洞繞過(guò) macOS 的權(quán)限模型，無(wú)需用戶額外驗(yàn)證，即可利用現(xiàn)有應(yīng)用權(quán)限執(zhí)行惡意操作。簡(jiǎn)單來(lái)說(shuō)，黑客可以在未經(jīng)用戶許可的情況下，發(fā)送電子郵件、錄制音頻、拍照或錄像。
據(jù)IT之家了解，這些漏洞基于代碼注入技術(shù)，即惡意代碼被插入到合法進(jìn)程中，從而訪問(wèn)受保護(hù)的資源。蘋果的 macOS 系統(tǒng)本身就具備“強(qiáng)化運(yùn)行時(shí)（Hardened Runtime）”等安全功能來(lái)防御代碼注入。該功能會(huì)阻止應(yīng)用程序加載未經(jīng)蘋果簽名或與主應(yīng)用程序團(tuán)隊(duì) ID 不匹配的框架、插件或庫(kù)。然而，開發(fā)人員可以通過(guò)設(shè)置“com.apple.security.cs.disable-library-validation”權(quán)限為 true 來(lái)繞過(guò)此功能。由于微軟的 macOS 應(yīng)用啟用了此設(shè)置，從而導(dǎo)致了這 8 個(gè)新漏洞的出現(xiàn)。
Talos 將這些漏洞通報(bào)給了微軟團(tuán)隊(duì)，微軟回應(yīng)稱這些漏洞風(fēng)險(xiǎn)較低。由于微軟這些應(yīng)用程序需要允許加載未簽名的庫(kù)來(lái)支持插件功能，因此無(wú)法修復(fù)這些漏洞。不過(guò)，微軟已經(jīng)為以下不支持插件的應(yīng)用修復(fù)了漏洞：
微軟 Teams（工作或?qū)W校）應(yīng)用
微軟 Teams（工作或?qū)W校）網(wǎng)頁(yè)版
微軟 Teams（工作或?qū)W校）桌面版
微軟 OneNote
然而，以下四個(gè)應(yīng)用仍然存在漏洞：
微軟 Excel
微軟 Outlook
微軟 PowerPoint
微軟 Word
廣告聲明：文內(nèi)含有的對(duì)外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時(shí)間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。