音频应用   音频插件联盟,正版插件,欢迎大家选择!

 找回密码
 快速注册

QQ登录

只需一步,快速开始

阅读: 17360|回复: 0

[分享] 全球首家发现苹果MacOS蓝牙漏洞

[复制链接]

112

积分

2

听众

47

音贝

音频应用

Rank: 1

积分
112
QQ
发表于 2020-3-31 | |阅读模式
音频应用公众号资讯免费发布推广
$ a- y- ^! L/ [! T" j
全球首家发现苹果MacOS蓝牙漏洞
( l9 c. Q4 v' b) x7 l7 A
" @1 N# t/ I; G6 o% `) d + o+ N6 o, ^1 m7 W& [, [
近日,苹果公司连续发布两份重要安全通告,公开致谢360 Alpha Lab团队全球首家发现5个MacOS蓝牙漏洞。这是苹果MacOS系统中极其罕见的漏洞组合,并经官方确认,该漏洞组合全部属于“零点击无接触”远程利用漏洞。9 F- p8 c$ b# l" T' {
# ]: L* e6 f# f+ Y" X) u* @/ |$ ^
' l& n5 d4 G7 q  C  m; I$ k9 s

; }6 `' K9 o" @4 I1 m% e4 e2 ~: ~ t0114cb6ea76388c989.webp.jpg
4 A3 w2 o& C0 C' V! h! @  V; B3 c! K/ P5 d* x0 t

# ]  ^. A7 z4 D. x% `" q' V8 ^鉴于其不容忽视的摧毁能力,该漏洞组合的发现者与报告者——360 Alpha Lab团队将其命名为“Bluewave”漏洞。同时,苹果官方已根据360安全团队所提交的漏洞报告发布补丁,并奖励漏洞奖金75,000美元。# }( l+ ?. i5 M, M3 i' h$ ?% C8 x
t019ed7a4ea5281c17e.webp.jpg 8 n$ }! o1 {* U9 S

3 M  d6 b: |2 x$ n9 P; \( q" Y- ?* Z4 ?0 G
“Bluewave”漏洞的披露,就像苹果系统爆出的5枚重磅炸弹。而对于该漏洞的第一发现者360 Alpha Lab而言,在完整定义“Bluewave”的威胁全貌前,他们首先注意到的是“Bluewave”所天然具备的“零点击”这一致命属性。/ E- P0 L( [. L. c. |

% d7 Y4 m3 y# j5 Z6 h! Q众所周知,尽管同为高危漏洞,仍然有许多漏洞的触发很大程度需要依赖用户预授权或交互操作,其实际威胁大大消解。然而“Bluewave”漏洞的罕见之处就在于,攻击者能够以无感知、无交互的形态,完成远程攻击利用,从而导致受害目标陷入非法控制。这与一般的漏洞相比,“Bluewave”的杀伤力和潜在破坏力可见一斑。
) `0 u( N( I# }& m9 b" Z; P2 B/ z: K7 Z; T; `- c1 E4 E
在证实“零点击”这一高危特质之后,360 Alpha Lab立即进一步意识到一个更为令人不安的事实:“Bluewave”漏洞具备无限劫持的可能性。要知道,“Bluewave”漏洞存在于苹果MacOS蓝牙进程中,而各种蓝牙设备之间又是互相连接,这意味着攻击者一旦攻破某台设备,就可以以其为中心,连锁式攻击与之配对的MacOS设备,整个攻击过程如像波浪一样,无限扩散蔓延。而这正是360 Alpha Lab将其形象地命名为“Bluewave”的原因。8 ]8 f; I2 B8 J8 p

" ~7 @' S5 @7 h: O在某程度来说,“Bluewave”漏洞的面积效应是最大的。这种攻击形式不亚于空军作战中的“电磁脉冲”,一旦被黑客利用,可以长时间静默潜伏,然后利用其硬杀伤力和极强传染性,大规模彻底瓦解目标系统。( F* E" Q( ~- ?% R2 ]
" y0 ?9 Z* M- Q$ N7 o

2 k6 K3 M" y, U2 {0 U/ T% M- ~ t017f2e809c4484c000.webp.jpg ; q# M0 Z+ s1 ?6 e: Y

; h+ o0 E% L) x4 J7 D(“Bluewave”漏洞同时攻破6台苹果笔记本)& O2 U# v% ^0 x! x8 o* S  H

  [" ^4 u* z! e至于攻破系统之后,攻击者可以发起何等程度的破坏,根据360的漏洞报告,蓝牙进程在所有操作系统上都拥有极高的权限,所以这也代表通过“Bluewave”漏洞可获取苹果MacOS系统最高ROOT进程权限,并达到完全控制电脑的程度。这种近乎完美的攻击手段满足了黑客迫切的攻击需求,它可以被应用在敏感信息窃取、隐私数据回传、任意恶意代码执行,甚至不排除直接向内核发起攻击的可能。
9 s1 s7 l2 Z/ T$ ?% M
+ @' E* _+ Z( q1 F5 |值得一提的是,此次苹果笔记本曝出的“Bluewave”漏洞影响范围甚广,覆盖macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2版本在内的所有苹果笔记本。(另360 Alpha Lab补充道,CVE-2019-8853漏洞除了上述版本,还将影响macOS Catalina 10.15.3)% R# J' C# k( W+ J: T

* D  U/ k. b- s2 s对于轻薄便携且USB接口紧缺的苹果笔记本而言,蓝牙键盘、鼠标等蓝牙设备一直大行其道,因此,开启蓝牙功能是数以亿计苹果用户的日常状态,甚至更有数量庞大的用户保持蓝牙时刻开启的习惯。0 |; k& E' E* C; ?2 J; {
5 n2 z0 p/ K0 R# R% d. ~
此次苹果笔记本曝出的“Bluewave”蓝牙组合漏洞,其威胁能力是“摧毁型”的,尤其是成功利用后带来的连锁性影响,更是无法估量。基于这一不稳定因素,360安全专家建议,广大用户应尽快升级修复,以免遭受漏洞攻击。
4 ?+ U) c& d, _! @2 }1 Z
! ?! _* _& o. S+ D" {就挖掘主流厂商高危漏洞,并协助产品修复的角度而言,360安全大脑早在2019年12月确认此漏洞利用的第一时间,就向苹果官方提交完整的漏洞报告,并正协助苹果公司推进修复,以防不法分子利用这些漏洞对用户造成巨大的损失。而“漏洞”作为网络时代,关系个人、企业乃至国家安全与利益的存在,常常被称为是一种避不开的网络武器和“新型军火”。面对这一日趋严重的安全威胁,360安全大脑正凭借着其过硬的实力,长期且持续地挖掘隐藏的安全漏洞,围追堵截各种恶意攻击,输出安全守护力量,共建安全的网络环境。
欢迎厂家入驻,推文!免费!微信:yinpinyingyong
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

音频应用搜索

小黑屋|手机版|音频应用官网微博|音频招标|音频应用 (鄂ICP备16002437号)

Powered by Audio app

快速回复 返回顶部 返回列表