Приложение Команды в macOS и iOS открывает доступ к данным пользователя

Приложение Команды в macOS и iOS открывает доступ к данным пользователя

Приложение Команды в macOS и iOS открывает доступ к данным пользователя

«Команды», родное приложение для систем macOS и iOS от Apple, содержит уязвимость, которая может позволить злоумышленникам добраться до конфиденциальной информации пользователя.

Как отметили в Bitdefender, брешь, получившая идентификатор CVE-2024-23204, затрагивает как iOS, так и macOS. Эксплуатация требует выполнения ряда действий.

В случае успеха атакующий может обойти фреймворк Apple, управляющий доступом к конфиденциальной информации пользователя и системным ресурсам.

Судя по всему, проблема связана с фоновым процессом приложения «Команды» и позволяет нивелировать защитную функцию Transparency, Consent, and Control (TCC), задача которой — убедиться, что у софта нет доступа к конфиденциальным данным (если только пользователь собственноручно его не выдал).

Специалисты Bitdefender подчеркнули, что с помощью эксплойта можно добраться до закрытой информации даже в песочнице. Например, исследователи задействовали функцию «раскрыть ссылку» (Expand URL) для передачи зашифрованных base64 данных о фотографии на удалённый сервер.

И такое можно провернуть не только с фото пользователя, но и с контактами, файлами и даже буфером обмена.

К счастью, в настоящее время готов патч, так что владельцам iOS- и macOS-устройств остаётся обновить их до версий iOS 17.3 и macOS Sonoma 14.3.

Бывшему сотруднику Google грозит 15 лет за кражу секретов ИИ-разработок

Большое жюри суда Северной Каролины утвердило обвинительное заключение по делу 38-летнего Линь-Вэй Дина (Linwei Ding), открытому в связи с кражей у Google более 2000 документов, связанных с разработками в сфере ИИ.

По версии следствия, Дин, проработавший в Google программистом с 2019 года до конца 2023-го, решил создать свой стартап в КНР и даже встречался с потенциальными инвесторами, попросив сослуживца прикрыть свое отсутствие в офисе.

Чтобы не начинать с чистого листа, предприимчивый инженер стал выкачивать данные из сети работодателя — о суперкомпьютерном ЦОД, специально построенном для ИИ, о софте для его управления, ИИ-моделях, приложениях, кастомных чипах.

Исходники он скачивал в Apple Notes на рабочем MacBook, а затем конвертировал их в PDF и под своим Google-аккаунтом выгружал в облако, чтобы замести следы. За две недели до увольнения Дин скачал все украденные секреты на свой персональный компьютер.

Когда пропажу обнаружили, техногигант обратился в суд. Арест подозреваемого в связи с выдвинутыми обвинениями состоялся в марте 2024 года.

Позднее выяснилось, что тот также подал заявку на участие в программе правительства КНР, призванной обеспечить приток в страну специалистов по исследованиям и разработке. Этот факт позволял трактовать кражу секретов Google как промышленный шпионаж в пользу иностранного государства.

В США Дину инкриминируют семь эпизодов хищения коммерческой тайны и семь эпизодов экономического шпионажа. По первой статье ему грозит до 10 лет лишения свободы, по второй — до 15 лет.

RSS: Новости на портале Anti-Malware.ru