压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

桑心了，但這是真的：即使是最新Mac OS X Yosemite系統(tǒng)的Apple Mac電腦仍然會(huì)受到隱藏的后門“Rootpipe”攻擊。作為“2014年漏洞最多的操作系統(tǒng)”，Mac OS X 系統(tǒng)再曝漏洞不免讓人懷疑——難道是蘋果公司在“刷榜”么？

什么是“Rootpipe”漏洞？

這個(gè)漏洞由一個(gè)瑞典白帽子Emil Kvarnhammar在去年10月發(fā)現(xiàn)，但自2011年10.7版本發(fā)布以來就一直存在于Mac OS X系統(tǒng)中。

Kvarnhammar把這個(gè)漏洞稱為“Rootpipe”，因?yàn)樵撀┒词固O果OS X系統(tǒng)的Root權(quán)限大范圍開放。攻擊者“無需適當(dāng)?shù)恼J(rèn)證就能獲取管理員權(quán)限”。黑客在進(jìn)行了優(yōu)先權(quán)攻擊后就能獲取Root權(quán)限（提供系統(tǒng)控制權(quán)），優(yōu)先權(quán)攻擊使他們能夠在目標(biāo)電腦上遠(yuǎn)程執(zhí)行代碼。

蘋果未能有效地隔離操作系統(tǒng)的各個(gè)部分，使黑客可以通過操作系統(tǒng)內(nèi)部的其他程序獲得Mac OS X的管理員權(quán)限。如果配合其他的攻擊手段，那么“Rootpipe”漏洞可能導(dǎo)致普通用戶的Mac電腦被黑客徹底攻陷。點(diǎn)擊Freebuf先前的報(bào)道，了解更多

Kvarnhammar表示那時(shí)蘋果公司要求他在今年1月前不要公開這個(gè)問題。結(jié)果直到今年4月蘋果公司才發(fā)布補(bǔ)丁，但是數(shù)百萬用戶仍然沒有得到保護(hù)。

低版本Mac就不管了，這樣真的好嗎？

本月初，蘋果公司發(fā)布了最新版的Mac OS X Yosemite系統(tǒng)，即OS X Yosemite 10.10.3，宣稱已經(jīng)修復(fù)了“Rootpipe”后門。

由于蘋果修補(bǔ)舊系統(tǒng)的政策，該公司不會(huì)消滅存在于的Mac OS X低于10.10系統(tǒng)版本的“Rootpipe”漏洞，也就是所有電腦上數(shù)千萬Mac用戶的電腦上將留下永久的后門。

保守估計(jì)30億互聯(lián)網(wǎng)用戶中有2%的人使用低于10.10的Mac OS X系統(tǒng)版本，這意味著6000萬臺(tái)Mac電腦容易受到Rootpipe攻擊。如果不那么保守的話，30億中的3%意味著9000萬臺(tái)PC容易受到攻擊，但這似乎有點(diǎn)極端。無論這些計(jì)算是多么地不精確，蘋果顯然已經(jīng)讓大量用戶暴露于風(fēng)險(xiǎn)之中。

更可怕的還在后面…

美國國家安全局（NSA）前雇員和網(wǎng)絡(luò)安全公司Synack研究主管Patrick Wardle撰文稱，在一次飛行途中，他發(fā)現(xiàn)一種新方法仍可以通過”Rootpipe“獲得高級(jí)權(quán)限。不過這次攻擊需要黑客獲得本地權(quán)限，即意味著可能通過Mac上的其他軟件漏洞來獲得。

Wardle說：這是個(gè)有趣的“漏洞”，它是“合法但沒有記錄的操作系統(tǒng)功能。不知道蘋果在添加這個(gè)功能時(shí)是怎么想的，沒有記錄并不意味著安全研究人員發(fā)現(xiàn)不了它，或者黑客不會(huì)用它來干壞事。坦白講，對(duì)于已經(jīng)能夠在一臺(tái)Mac電腦上執(zhí)行本地代碼的黑客而言，獲取OS X系統(tǒng)的Root權(quán)限不是什么難事，即使這臺(tái)電腦安裝了完整的更新和補(bǔ)丁。”

Wardle已經(jīng)向蘋果公司安全團(tuán)隊(duì)報(bào)告了他的發(fā)現(xiàn)，同時(shí)在蘋果公司發(fā)布一個(gè)完整并且“堅(jiān)不可摧”的修補(bǔ)之前他不會(huì)向公眾透露他的攻擊細(xì)節(jié)。（POC：https://objective-see.com/blog.html）

安全建議

現(xiàn)在，我們只是寄希望于蘋果公司發(fā)布一個(gè)更強(qiáng)大的“Rootpipe”補(bǔ)丁。蘋果上次花了六個(gè)月時(shí)間研發(fā)的新系統(tǒng)，Wardle僅僅在飛行途中就將其攻陷了。

蘋果最新的桌面操作系統(tǒng)更新包括了大約80個(gè)安全漏洞的補(bǔ)丁。用戶應(yīng)該升級(jí)到最新的操作系統(tǒng)版本，不只是為了得到更多有趣的新表情符號(hào)，還是出于緊迫的安全原因。

文章來源：Freebuf黑客與極客（FreeBuf.COM）