谷歌安全團隊報告macOS文件系統高危漏洞

谷歌安全研究團隊 Project Zero 今天發現並報告 macOS 的文件系統內核存在高危漏洞。該漏洞允許惡意者修改用戶安裝的文件系統鏡像，由於虛擬子系統的管理原因導致該修改並不會被用戶注意。

該漏洞會利用 XNU 的寫入時複製（COW）行為，在進程之間寫入數據。這種寫時複製行為不僅適用於匿名內存，還適用於文件鏡像。Project Zero解釋稱，這意味著在目標進程只要進入內存區域讀取後，即便是釋放緩存的情況下，內存也可以重新在後備文件系統中載入它們。

Project Zero 在 2018 年 11 月發現了這個漏洞，並向蘋果告知它的存在，隨後根據自動的 90 天披露政策將其公布。團隊研究員 Ben Hawkes 指出，他們目前正在共同評估補丁的選項，蘋果打算在未來的版本中解決這個問題。

這不是 Project Zero 第一次指出蘋果軟體存在的漏洞。今年 2 月，有消息稱蘋果公司在 iOS 上修補了該團隊發現的兩個漏洞。這兩個漏洞曾被用於破解 iOS 設備。

目前蘋果正在開發相對應的安全更新，但由於谷歌已經提前披露該漏洞詳情，所以 macOS 用戶需要格外注意訪問網站和下載文件的安全性。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！