Apple Kısayolları’nda, saldırganların, kullanıcıdan izin vermesi istenmeden cihazdaki hassas verilere erişmesine olanak verebilecek tehlikeli bir güvenlik açığı ortaya çıktı.
Apple’ın macOS ve iOS için tasarlanan Kısayollar uygulaması, görevleri otomatikleştirmeyi amaçlıyor. İşletmeler için, kullanıcıların cihazlarında belirli görevleri yürütmek için makrolar oluşturmasına ve ardından bunları Web otomasyonundan akıllı fabrika işlevlerine kadar her şey için iş akışlarında birleştirmesine olanak tanır. Bunlar daha sonra iCloud ve diğer platformlar aracılığıyla iş arkadaşlarınızla ve ortaklarınızla çevrimiçi olarak paylaşılabilir.
Bir göre Bitdefender’dan analiz Bugün itibarıyla bu güvenlik açığı (CVE-2024-23204), Apple’ın Şeffaflık, Rıza ve Kontrol (TCC) güvenlik çerçevesini aşabilecek kötü amaçlı bir Kısayol dosyası oluşturulmasını mümkün kılıyor; bu çerçeve, uygulamaların açıkça izin talep etmesini sağlaması gerekiyor belirli verilere veya işlevlere erişmeden önce kullanıcıdan.
Bu, birisi kütüphanesine kötü amaçlı bir kısayol eklediğinde, kullanıcının erişim izni vermesine gerek kalmadan hassas verileri ve sistem bilgilerini sessizce çalabileceği anlamına gelir. Bitdefender araştırmacıları, kavram kanıtlama (PoC) istismarında, şifrelenmiş bir görüntü dosyasındaki verileri dışarı sızdırmayı başardılar.
Raporda, “Kısayolların etkin görev yönetimi için yaygın olarak kullanılan bir özellik olması nedeniyle, güvenlik açığı, kötü amaçlı kısayolların çeşitli paylaşım platformları aracılığıyla yanlışlıkla yayılmasıyla ilgili endişeleri artırıyor” ifadesine yer verildi.
Hata, macOS Sonoma 14.3, iOS 17.3 ve iPadOS 17.3’ten önceki sürümleri çalıştıran macOS ve iOS aygıtları için bir tehdittir ve Ortak Güvenlik Açığı Puanlama Sistemi’nde (CVSS) olası 10 üzerinden 7,5 (yüksek) olarak derecelendirilmiştir çünkü gerekli ayrıcalıklar olmadan uzaktan istismar edilir.
Bitdefender’ın tehdit araştırma ve raporlama direktörü Bogdan Botezatu, Apple’ın hatayı düzelttiğini ve “kullanıcıları Apple Shortcuts yazılımının en son sürümünü çalıştırdıklarından emin olmaya çağırıyoruz” diyor.
Apple Güvenlik Açıkları: Her zamankinden daha yaygın
Ekimde, Accenture yayınlandı 2019’dan bu yana macOS’u hedef alan Dark Web tehdit aktörlerinin sayısının on kat arttığını ortaya koyan bir rapor; bu eğilimin devam etmesi bekleniyor.
Bulgular ortaya çıkışıyla örtüşüyor gelişmiş macOS bilgi hırsızları Apple’ın yerleşik algılamasını atlamak için oluşturuldu. Ve Kaspersky araştırmacıları yakın zamanda keşfedildi Bitcoin ve Exodus kripto cüzdanlarını hedef alan macOS kötü amaçlı yazılımları, orijinal uygulamaların yerine güvenliği ihlal edilmiş sürümleri kullanan kötü amaçlı yazılımlar.
Hatalar da gün yüzüne çıkmaya devam ederek ilk erişimi kolaylaştırıyor. Örneğin, bu yılın başlarında Apple, sıfır gün güvenlik açığını (CVE-2024-23222) düzeltti. Safari tarayıcısının WebKit motoruGiriş doğrulama varsayımlarının kötüye kullanıma yol açabileceği bir tür karışıklık hatasından kaynaklanır.
Rapor, genel olarak Apple’ın kötü sonuçlarından kaçınmak için kullanıcılara macOS, iPadOS ve watchOS cihazlarını en son sürümlere güncellemelerini, güvenilmeyen kaynaklardan kısayolları çalıştırırken dikkatli olmalarını ve Apple’ın güvenlik güncellemelerini ve yamalarını düzenli olarak kontrol etmelerini şiddetle tavsiye ediyor.
