近日，蘋(píng)果公司連續(xù)發(fā)布兩份重要安全通告，公開(kāi)致謝 360 Alpha Lab 團(tuán)隊(duì)全球首家發(fā)現(xiàn) 5 個(gè) MacOS 藍(lán)牙漏洞。這是蘋(píng)果 MacOS 系統(tǒng)中極其罕見(jiàn)的漏洞組合，并經(jīng)官方確認(rèn)，該漏洞組合全部屬于“零點(diǎn)擊無(wú)接觸”遠(yuǎn)程利用漏洞。

　　鑒于其不容忽視的摧毀能力，該漏洞組合的發(fā)現(xiàn)者與報(bào)告者——360 Alpha Lab 團(tuán)隊(duì)將其命名為“Bluewave”漏洞。同時(shí)，蘋(píng)果官方已根據(jù) 360 安全團(tuán)隊(duì)所提交的漏洞報(bào)告發(fā)布補(bǔ)丁，并獎(jiǎng)勵(lì)漏洞獎(jiǎng)金 75,000 美元。

　　（蘋(píng)果官方致謝 360 安全團(tuán)隊(duì)）

　　全球首家發(fā)現(xiàn)蘋(píng)果 MacOS 藍(lán)牙漏洞

　　摧毀力堪比“電磁脈沖”

　　“Bluewave”漏洞的披露，就像蘋(píng)果系統(tǒng)爆出的 5 枚重磅炸彈。而對(duì)于該漏洞的第一發(fā)現(xiàn)者 360 Alpha Lab 而言，在完整定義“Bluewave”的威脅全貌前，他們首先注意到的是“Bluewave”所天然具備的“零點(diǎn)擊”這一致命屬性。

　　眾所周知，盡管同為高危漏洞，仍然有許多漏洞的觸發(fā)很大程度需要依賴(lài)用戶(hù)預(yù)授權(quán)或交互操作，其實(shí)際威脅大大消解。然而“Bluewave”漏洞的罕見(jiàn)之處就在于，攻擊者能夠以無(wú)感知、無(wú)交互的形態(tài)，完成遠(yuǎn)程攻擊利用，從而導(dǎo)致受害目標(biāo)陷入非法控制。這與一般的漏洞相比，“Bluewave”的殺傷力和潛在破壞力可見(jiàn)一斑。

　　在證實(shí)“零點(diǎn)擊”這一高危特質(zhì)之后，360 Alpha Lab 立即進(jìn)一步意識(shí)到一個(gè)更為令人不安的事實(shí)：“Bluewave”漏洞具備無(wú)限劫持的可能性。要知道，“Bluewave”漏洞存在于蘋(píng)果 MacOS 藍(lán)牙進(jìn)程中，而各種藍(lán)牙設(shè)備之間又是互相連接，這意味著攻擊者一旦攻破某臺(tái)設(shè)備，就可以以其為中心，連鎖式攻擊與之配對(duì)的 MacOS 設(shè)備，整個(gè)攻擊過(guò)程如像波浪一樣，無(wú)限擴(kuò)散蔓延。而這正是 360 Alpha Lab 將其形象地命名為“Bluewave”的原因。

　　在某程度來(lái)說(shuō)，“Bluewave”漏洞的面積效應(yīng)是最大的。這種攻擊形式不亞于空軍作戰(zhàn)中的“電磁脈沖”，一旦被黑客利用，可以長(zhǎng)時(shí)間靜默潛伏，然后利用其硬殺傷力和極強(qiáng)傳染性，大規(guī)模徹底瓦解目標(biāo)系統(tǒng)。

　　（“Bluewave”漏洞同時(shí)攻破 6 臺(tái)蘋(píng)果筆記本）

　　至于攻破系統(tǒng)之后，攻擊者可以發(fā)起何等程度的破壞，根據(jù) 360 的漏洞報(bào)告，藍(lán)牙進(jìn)程在所有操作系統(tǒng)上都擁有極高的權(quán)限，所以這也代表通過(guò)“Bluewave”漏洞可獲取蘋(píng)果 MacOS 系統(tǒng)最高 ROOT 進(jìn)程權(quán)限，并達(dá)到完全控制電腦的程度。這種近乎完美的攻擊手段滿足了黑客迫切的攻擊需求，它可以被應(yīng)用在敏感信息竊取、隱私數(shù)據(jù)回傳、任意惡意代碼執(zhí)行，甚至不排除直接向內(nèi)核發(fā)起攻擊的可能。

　　值得一提的是，此次蘋(píng)果筆記本曝出的“Bluewave”漏洞影響范圍甚廣，覆蓋 macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2 版本在內(nèi)的所有蘋(píng)果筆記本。（另 360 Alpha Lab 補(bǔ)充道，CVE-2019-8853 漏洞除了上述版本，還將影響 macOS Catalina 10.15.3）

　　防止“Bluewave”漏洞武器化

　　360 安全大腦已協(xié)助蘋(píng)果官方修復(fù)

　　對(duì)于輕薄便攜且 USB 接口緊缺的蘋(píng)果筆記本而言，藍(lán)牙鍵盤(pán)、鼠標(biāo)等藍(lán)牙設(shè)備一直大行其道，因此，開(kāi)啟藍(lán)牙功能是數(shù)以?xún)|計(jì)蘋(píng)果用戶(hù)的日常狀態(tài)，甚至更有數(shù)量龐大的用戶(hù)保持藍(lán)牙時(shí)刻開(kāi)啟的習(xí)慣。

　　此次蘋(píng)果筆記本曝出的“Bluewave”藍(lán)牙組合漏洞，其威脅能力是“摧毀型”的，尤其是成功利用后帶來(lái)的連鎖性影響，更是無(wú)法估量。基于這一不穩(wěn)定因素，360 安全專(zhuān)家建議，廣大用戶(hù)應(yīng)盡快升級(jí)修復(fù)，以免遭受漏洞攻擊。

　　就挖掘主流廠商高危漏洞，并協(xié)助產(chǎn)品修復(fù)的角度而言，360 安全大腦早在 2019 年 12 月確認(rèn)此漏洞利用的第一時(shí)間，就向蘋(píng)果官方提交完整的漏洞報(bào)告，并正協(xié)助蘋(píng)果公司推進(jìn)修復(fù)，以防不法分子利用這些漏洞對(duì)用戶(hù)造成巨大的損失。而“漏洞”作為網(wǎng)絡(luò)時(shí)代，關(guān)系個(gè)人、企業(yè)乃至國(guó)家安全與利益的存在，常常被稱(chēng)為是一種避不開(kāi)的網(wǎng)絡(luò)武器和“新型軍火”。面對(duì)這一日趨嚴(yán)重的安全威脅，360 安全大腦正憑借著其過(guò)硬的實(shí)力，長(zhǎng)期且持續(xù)地挖掘隱藏的安全漏洞，圍追堵截各種惡意攻擊，輸出安全守護(hù)力量，共建安全的網(wǎng)絡(luò)環(huán)境。

　　蘋(píng)果官方致謝 360Alpha Lab 團(tuán)隊(duì)：

　　https://support.apple.com/zh-cn/HT211100

　　https://support.apple.com/en-us/HT210919

總結(jié)

以上是生活随笔為你收集整理的苹果Mac系统惊曝5个“烈性传染”漏洞 又一场“病毒风暴”或在酝酿！的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。