Apple‌ исправила 0Day-уязвимости в macOS

Специалисты компании Apple выпустили обновления безопасности для iOS, macOS, tvOS, watchOS и web-браузера Safari, исправляющие ряд уязвимостей, в том числе активно используемую уязвимость нулевого дня ( CVE-2021-30713 ) в macOS Big Sur.

Проблема связана с разрешениями в структуре Apple Transparency, Consent and Control (TCC) в macOS, которая поддерживает базу данных согласия каждого пользователя. По словам техногиганта, уязвимость могла быть использована в реальных атаках, но компания не стала делиться подробностями.

Как отметили специалисты компании Jamf, уязвимость активно использовалась операторами вредоносного ПО XCSSET, распространяемого с августа 2020 года через модифицированные проекты Xcode IDE в репозиториях GitHub. Программа создает вредоносные пакеты в легитимных приложениях, установленных на целевой системе.

«Эксплуатация уязвимости позволяет злоумышленнику получить полный доступ к диску, записи экрана или другие разрешения, не требуя согласия пользователя», — пояснили исследователи.

Хакеры могли использовать устройства, на которых был установлен XCSSET, с целью получения разрешений для хищения конфиденциальной информации. В частности, вредоносная программа проверяет разрешения на создание снимков экрана из списка установленных приложений, таких как Zoom, Discord, WhatsApp, Slack, TeamViewer, Upwork, Skype и Parallels Desktop, чтобы внедрить вредоносное ПО («avatarde.app») в папку приложения.

Также были исправлены две других активно эксплуатируемые проблемы ( CVE-2021-30663 и CVE-2021-30665 ) в браузерном движке WebKit, затрагивающие устройства Safari, Apple TV 4K и Apple TV HD.