Zavřít reklamu

V pondělí se bezpečnostní experti z Projectu Zero, které najímá samotný Google, upozornili na odhalení další bezpečnostní chyby v macOS. Tým se zabývá hledáním takzvaných zero-day útoků, mezi které můžeme zařadit všechny chyby, na které v době odhalení neexistuje žádné řešení.

Co bezpečnostní chyba dokáže způsobit?

Téměř všechno. Tato chyba totiž dovoluje útočníkovi pomocí namountovaného souborového systému vypouštět do macOS nejrůznější škodlivé soubory. Nejhorší na tom je, že oběť útoku či samotný systém, se nemají šanci o těchto událostech ani dozvědět. Zranitelným je konkrétně proces copy-on-write (COW), který se stará o správu systémových zdrojů a je přímo v jádru XNU, neboli v jádru celého operačního systému. COW dovoluje systému vytvářet kopie dat mezi procesy týkajících se paměti a stará se o samotné mapování souborů. Podle poznámek Projectu Zero je nesmírně důležité, aby byla zkopírovaná paměť chráněna proti změnám ze zdrojového procesu, jelikož jinak může dojít k využití dané zranitelnosti.

Při testování této chyby byli experti schopni libovolně modifikovat disk uživatele, aniž by je proces COW vůbec zachytil. Jak bylo zmíněno výše, nejhorší na tom je, že uživatel může chybu zpozorovat až v momentě, kdy už bude bohužel pozdě.

MacBook Pro (2018):

Čeho se v současné době můžeme obávat

Politika Projektu Zero je taková, že k zveřejnění chyby veřejnosti dojde po devadesáti dnech od uvědomění vývojáře, kterým je v tomto případě Apple. Tato lhůta již uplynula a nyní se informace o chybě dostávají do povědomí široké veřejnosti – tudíž jí může být patřičně zneužito. To je ale samozřejmě možné pouze v případě, že Apple chybu v některé z aktualizací systému v minulých týdnech neopravil, což však velmi pravděpodobně již udělal.

S podobným problémem se v závěru roku 2014 potýkal například i Microsoft. Jejich tehdejší systém Windows 8.1 obsahoval chybu, která běžnému uživateli dovolovala si ze svého účtu udělat účet s administrátorskými právy. Microsoft však chybu v dané lhůtě neopravil a uživatelé na bezpečnostní záplatu čekali další dva měsíce.

Související články

Dnes nejčtenější