Новый macOS Security Bug разблокирует App Store с любым паролем
Вернувшись в конце ноября, Apple вынуждена была вытащить патч для аварийной безопасности после известий о серьезном недостатке безопасности в macOS High Sierra. Эта ошибка позволила пользователям войти в систему, набрав «root» для входа в систему, а затем несколько раз подряд введите попытку входа в систему. Теперь есть новая ошибка; это не такой большой риск, как этот, но это все еще значительная проблема.
Ошибка, по-видимому, ограничена High Sierra (Sierra не затрагивается), и она была проверена Macrumors как существующая в 10.13.2, последней версии операционной системы. Macrumors заявляет, что не может воспроизвести ошибку в бета-версиях macOS 10.13.3, предполагая, что она будет исправлена в предстоящей версии. Тем не менее, он пока остается активным.
Воспроизведение ошибки довольно просто и включает в себя следующие шаги, изложенные eholtam, которые обнаружили ошибку:
1) Войдите в систему как локальный admin2) Откройте панель предварительного просмотра App Store из системных настроек3) Заблокируйте замок, если он уже разблокирован4) Нажмите блокировку, чтобы разблокировать ее5) Введите любой фиктивный пароль
Ожидаемое поведение, очевидно, заключается в том, что попытка входа в систему завершится неудачно. Фактическое поведение заключается в том, что попытка входа и разблокировки работает отлично. Ошибка работает, только когда вы вошли в административную учетную запись, но это еще один пример того, как Apple, похоже, сбросила мяч, правильно установив правила пользователя и разрешения. Хотя это не так рискованно, как предыдущая ошибка входа в систему, Apple явно не выполняла некоторые проверки должной осмотрительности, в которой она должна была участвовать. Возможность изменения предпочтений в App Store позволяет изменять расписания обновлений приложений, системных обновлений и обновления безопасности. Перевернув эти настройки, можно использовать в сочетании с другой атакой, чтобы гарантировать, что система не была исправлена, чтобы закрыть отверстие безопасности, хотя требуется локальный доступ или, по крайней мере, доступ администратора с удаленного места.
Оптика ситуации хуже, учитывая, что Apple специально заявила, что пересмотрит свою практику, чтобы предотвратить повторение. Еще в конце ноября компания написала: «Мы очень сожалеем об этой ошибке, и мы приносим свои извинения всем пользователям Mac, как за освобождение от этой уязвимости, так и за ее вызывающую озабоченность. Наши клиенты заслуживают лучшего. Мы проверяем наши процессы разработки, чтобы предотвратить это снова ».
Очевидно, что аудит еще не завершен. В этом вопросе не существует обходного пути, поэтому единственным реальным вариантом является ожидание того, что Apple предоставит решение.
Читать далее
Новая серия AMD Radeon RX 6000 оптимизирована для борьбы с амперами
AMD представила серию RX 6000 сегодня. Впервые с момента покупки ATI в 2006 году использование графических процессоров AMD на платформах AMD даст определенные преимущества.
Новые детали Intel Rocket Lake: обратная совместимость, графика Xe, Cypress Cove
Intel опубликовала немного больше информации о Rocket Lake и его 10-нм процессоре, который был перенесен на 14-нм.
Хаббл исследует 16 "Психеи", астероид стоимостью 10 000 квадриллионов долларов
Исследователи только что завершили ультрафиолетовое обследование 16 Psyche, сверхценного астероида, который НАСА планирует посетить в 2026 году.
Intel представляет новые мобильные графические процессоры Xe Max для создателей контента начального уровня
Intel выпустила новый потребительский мобильный графический процессор, но у него очень специфический вариант использования, по крайней мере, на данный момент.