Обнаруженные уязвимости могут стать причиной компрометации пользовательских данных, предупреждают исследователи Cisco Talos Intelligence.
В своём отчёте они указали, что в некоторых официальных приложениях Microsoft для macOS включена функция загрузки неподписанных библиотек. Это может позволить злоумышленникам внедрять вредоносный код и использовать уже предоставленные этими приложениями привилегии.
- Эти уязвимости дают возможность получить несанкционированный доступ к системе и красть данные.
- Речь идет об таких приложениях для macOS, как Microsoft Word, Excel, Outlook, PowerPoint и Teams.
- По умолчанию все эти программы имеют систему защиты, опирающуюся на разрешения, когда пользователь подтверждает доступ к микрофону, камере и остальным ресурсам.
- Тем не менее, уязвимость позволяет обойти эту систему, внедрив неподписанную библиотеку, которая даст доступ к ресурсам и данным пользователя.
Речь идет о системе Transparency Consent and Control, которая управляет разрешениями приложений. Вредоносное ПО может использовать уже предоставленные программам разрешения, минуя запрос на дополнительную проверку.
Мы выявили восемь уязвимостей в различных приложениях Microsoft для macOS, благодаря которым злоумышленники могут обойти механизм получения разрешений, используя существующие права без необходимости запрашивать у пользователя дополнительное подтверждение.
Пользователям рекомендуется дожидаться обновления, так как Microsoft уже работает над выпуском патча, устраняющего проблему. Например, уязвимости уже были исправлены в Teams и OneNote.