| 7 августа 2024 г. — 1:52 PT
Apple и другие технологические компании постоянно ищут способы повысить безопасность своих операционных систем. Тем не менее, некоторые вещи остаются незамеченными. Эксплойт 18-летней давности до сих пор активно используется хакерами для доступа к внутренним сетям, но Apple уже подтвердила, что исправит это в macOS Sequoia.
Эксплойт в macOS облегчает хакерам доступ к частным сетям
Исследователи безопасности Oligo подробно описали, как работает эксплойт. По сути, хакеры используют тот факт, как веб-браузеры, такие как Safari, Chrome и Firefox, обрабатывают запросы к IP-адресу 0.0.0.0, перенаправляя эти запросы на другие IP-адреса.
В некоторых случаях эти запросы перенаправляются на «localhost», который часто используется как локальный внутренний сервер для тестирования разрабатываемого кода. Таким образом, хакеры могут получать файлы и другие частные данные с серверов компаний. «Код разработчиков и внутренние сообщения — хорошие примеры информации, к которой можно получить доступ немедленно», — сказал исследователь Ави Лумельски.
По словам исследователей, некоторые хакеры даже умудряются запускать вредоносный код на серверах, где размещен фреймворк Ray AI, используемый для обучения моделей искусственного интеллекта такими компаниями, как Amazon и Intel. Интересно, что такие атаки возможны только на macOS и Linux, поскольку Microsoft решила блокировать 0.0.0.0 в Windows.
Apple работает над исправлением
После последствий Apple сообщила Forbes, что заблокирует все попытки веб-сайтов получить доступ к 0.0.0.0 в бета-версии macOS Sequoia. Неясно, присутствует ли исправление уже в последней бета-версии или оно появится в будущем обновлении. Команда безопасности Google заявила, что планирует сделать то же самое в будущем обновлении Chrome.
Что касается Firefox, Mozilla пока не предложила решение. Представитель компании заявил, что они обеспокоены введением таких ограничений, поскольку они могут привести к «проблемам совместимости».
Исследователи Oligo поделятся более подробной информацией о своих выводах в эти выходные на конференции DEF CON в Лас-Вегасе.
Читайте также: