据Cyber Security News消息, 微软威胁情报发现,macOS出现了一个名为“HM Surf”的新漏洞,能允许攻击者绕过操作系统的透明、同意和控制(TCC)技术,在未经授权的情况下访问用户受保护的数据。
该漏洞被追踪为CVE-2024-44133,能够被利用收集敏感信息(例如浏览历史记录),并在未经授权的情况下访问设备的摄像头、麦克风和位置。
HM Surf 能够更改当前用户的主目录,修改用户真实主目录下的敏感文件,以及运行 Safari 打开一个网页,该网页拍摄相机快照并跟踪设备位置。
攻击者可以执行一些隐秘的操作,例如私下托管快照、保存整个摄像头数据流、录制和串流麦克风音频,以及在小窗口中启动 Safari 以避免引起注意。微软通过 Microsoft Security Vulnerability Research (MSVR) 的协调漏洞披露 (CVD) 与 苹果分享了这一漏洞发现。目前,只有 Safari 使用 TCC 提供的新保护,微软正在与其他主要浏览器供应商合作,以调查强化本地配置文件的好处。
目前苹果已在9 月 16 日发布的 macOS Sequoia 最新安全更新中修复了该漏洞。微软建议macOS 用户尽快应用 Apple 发布的安全更新。此前,微软已发现多个存在于macOS和Linux系统中的漏洞,随着跨平台威胁的持续增加,对漏洞发现和威胁情报共享的协调响应将有助于加强保护技术,以保护用户在所有平台和设备上的安全。