tft每日頭條

 > 科技

 > 如何用虛拟機安裝macos10.13

如何用虛拟機安裝macos10.13

科技 更新时间:2024-08-26 15:16:42

一名安全專家近日發現利用 macOS 端 Zoom 應用程序,掌控整個系統權限的攻擊方式。本周五在拉斯維加斯召開的 Def Con 黑客大會上,Mac 安全專家帕特裡克·沃德爾(Patrick Wardle)在演講中詳細介紹了這個漏洞細節。

如何用虛拟機安裝macos10.13(利用macOS端Zoom安裝器漏洞)1

雖然 Zoom 已經修複了演示中的部分 BUG,但是沃德爾還演示了一個尚未修複、依然可以影響 macOS 系統的漏洞。該漏洞通過 Zoom 應用的安裝器進行入侵,雖然在首次添加到 macOS 的時候需要用戶輸入系統密碼,不過沃德爾表示可以通過超級用戶權限在後台執行自動升級功能。

在 Zoom 發布修複更新之後,在安裝新的安裝包的時候都需要審查是否經過 Zoom 加密簽署。不過這種審查方式依然存在缺陷,任意文件隻需要修改為和 Zoom 簽署認證相同的文件名稱就可以通過測試,因此攻擊者可以僞裝任意惡意程序,并通過提權來掌控系統、

其結果是一種權限提升攻擊方式,需要攻擊者已經獲得了對目标系統的初始訪問權限,然後利用漏洞來獲得更高級别的訪問權限。 在這種情況下,攻擊者從受限用戶帳戶開始,但升級為最強大的用戶類型——稱為“superuser”或“root”——允許他們添加、删除或修改機器上的任何文件。

如何用虛拟機安裝macos10.13(利用macOS端Zoom安裝器漏洞)2

沃德爾在去年 12 月向 Zoom 報告了這個問題。雖然 Zoom 随後發布了一個修複補丁,但是令他沮喪的這個修複補丁包含另一個錯誤,這意味着該漏洞仍然可以以稍微更迂回的方式利用,因此他向 Zoom 披露了第二個錯誤,并等待了八個月才發布研究。

沃德爾表示:“對我來說,我不僅向 Zoom 報告了錯誤,還報告了錯誤以及如何修複代碼,所以等了六、七、八個月,知道所有 Mac 版本的 Zoom 都在用戶的計算機上仍然易受攻擊,真是令人沮喪”。

,

更多精彩资讯请关注tft每日頭條,我们将持续为您更新最新资讯!

查看全部

相关科技资讯推荐

热门科技资讯推荐

网友关注

Copyright 2023-2024 - www.tftnews.com All Rights Reserved