Приложение Команды в macOS и iOS открывает доступ к данным пользователя

Приложение Команды в macOS и iOS открывает доступ к данным пользователя

Приложение Команды в macOS и iOS открывает доступ к данным пользователя

«Команды», родное приложение для систем macOS и iOS от Apple, содержит уязвимость, которая может позволить злоумышленникам добраться до конфиденциальной информации пользователя.

Как отметили в Bitdefender, брешь, получившая идентификатор CVE-2024-23204, затрагивает как iOS, так и macOS. Эксплуатация требует выполнения ряда действий.

В случае успеха атакующий может обойти фреймворк Apple, управляющий доступом к конфиденциальной информации пользователя и системным ресурсам.

Судя по всему, проблема связана с фоновым процессом приложения «Команды» и позволяет нивелировать защитную функцию Transparency, Consent, and Control (TCC), задача которой — убедиться, что у софта нет доступа к конфиденциальным данным (если только пользователь собственноручно его не выдал).

Специалисты Bitdefender подчеркнули, что с помощью эксплойта можно добраться до закрытой информации даже в песочнице. Например, исследователи задействовали функцию «раскрыть ссылку» (Expand URL) для передачи зашифрованных base64 данных о фотографии на удалённый сервер.

И такое можно провернуть не только с фото пользователя, но и с контактами, файлами и даже буфером обмена.

К счастью, в настоящее время готов патч, так что владельцам iOS- и macOS-устройств остаётся обновить их до версий iOS 17.3 и macOS Sonoma 14.3.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

BI.ZONE Consulting ускоряет анализ киберрисков в три раза

Компания BI.ZONE Consulting обновила услугу по комплексному управлению киберрисками. По оценке специалистов, сейчас около 60% организаций не способны точно оценить масштаб возможного ущерба от киберинцидентов. Это приводит к неожиданным расходам, штрафам и репутационным потерям.

Обновлённый подход сочетает международные стандарты (ISO/IEC 27001, ISO/IEC 27005, ISO 31000 и др.) и требования российских регуляторов (ПП-127, 716-П и т. п.).

Теперь сервис позволяет:

  • учитывать влияние киберугроз на операционную деятельность;
  • ускорять выявление и анализ рисков минимум в три раза;
  • классифицировать сценарии нарушений по критичности последствий;
  • переводить потенциальный ущерб в конкретные категории — от штрафов до простоя производства.

Кроме того, в обновлении добавлены:

  • Автоматизированная оценка рисков — формирование сценариев угроз на основе ISO 27005.
  • Стратегический подход — трёхлетние циклы управления с KPI и ежегодной корректировкой стратегии под актуальные угрозы.
  • Финансовая привязка — определение риск-аппетита компании и сопоставление его с мерами защиты и бюджетом.
  • Соответствие регуляторам — автоматизация процессов, связанных с исполнением 716-П, ПП-127 и других требований.

По словам руководителя направления Тимофея Полякова, компании часто распределяют бюджеты на ИБ неэффективно: до 80% уходит на реагирование, а не на профилактику. В итоге бизнес сталкивается с неожиданными штрафами и потерями. Новый подход, отмечает он, помогает руководителям принимать решения на основе данных и лучше увязывать безопасность с финансовыми результатами.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru