「大众网·海报新闻」不点击也能中毒！，苹果Mac系统被曝5个“烈性传染”漏洞
大众网·海报新闻济南3月26日讯（采访人员 孙杰）近日 ， 苹果公司连续发布两份重要安全通告 ， 公开致谢360 Alpha Lab团队全球首家发现5个MacOS蓝牙漏洞 。 这是苹果MacOS系统中极其罕见的漏洞组合 ， 并经官方确认 ， 该漏洞组合全部属于“零点击无接触”远程利用漏洞 。鉴于其不容忽视的摧毁能力 ， 该漏洞组合的发现者与报告者——360 Alpha Lab团队将其命名为“Bluewave”漏洞 。
MacOS蓝牙漏洞摧毁力堪比“电磁脉冲”
“Bluewave”漏洞的披露 ， 就像苹果系统爆出的5枚重磅炸弹 。 而对于该漏洞的第一发现者360 Alpha Lab而言 ， 在完整定义“Bluewave”的威胁全貌前 ， 他们首先注意到的是“Bluewave”所天然具备的“零点击”这一致命属性 。
和许多漏洞的触发很大程度需要依赖用户预授权或交互操作不同 ， “Bluewave”漏洞的罕见之处就在于 ， 攻击者能够以无感知、无交互的形态 ， 完成远程攻击利用 ， 从而导致受害目标陷入非法控制 。 这与一般的漏洞相比 ， “Bluewave”的杀伤力和潜在破坏力可见一斑 。
【「大众网·海报新闻」不点击也能中毒！，苹果Mac系统被曝5个“烈性传染”漏洞】在证实“零点击”这一高危特质之后 ， 360 Alpha Lab立即进一步意识到一个更为令人不安的事实：“Bluewave”漏洞具备无限劫持的可能性 。 要知道 ， “Bluewave”漏洞存在于苹果MacOS蓝牙进程中 ， 而各种蓝牙设备之间又是互相连接 ， 这意味着攻击者一旦攻破某台设备 ， 就可以以其为中心 ， 连锁式攻击与之配对的MacOS设备 ， 整个攻击过程如像波浪一样 ， 无限扩散蔓延 。 而这正是360 Alpha Lab将其形象地命名为“Bluewave”的原因 。
在某种程度上来说 ， “Bluewave”漏洞的面积效应是最大的 。 这种攻击形式不亚于空军作战中的“电磁脉冲” ， 一旦被黑客利用 ， 可以长时间静默潜伏 ， 然后利用其硬杀伤力和极强传染性 ， 大规模彻底瓦解目标系统 。
至于攻破系统之后 ， 攻击者可以发起何等程度的破坏 ， 根据360的漏洞报告 ， 蓝牙进程在所有操作系统上都拥有极高的权限 ， 所以这也代表通过“Bluewave”漏洞可获取苹果MacOS系统最高ROOT进程权限 ， 并达到完全控制电脑的程度 。 这种近乎完美的攻击手段满足了黑客迫切的攻击需求 ， 它可以被应用在敏感信息窃取、隐私数据回传、任意恶意代码执行 ， 甚至不排除直接向内核发起攻击的可能 。
此次苹果笔记本曝出的“Bluewave”漏洞影响范围甚广 ， 覆盖macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2版本在内的所有苹果笔记本 。
防止“Bluewave”漏洞武器化 ， 360正协助苹果官方修复
对于轻薄便携且USB接口紧缺的苹果笔记本而言 ， 蓝牙键盘、鼠标等蓝牙设备一直大行其道 ， 因此 ， 开启蓝牙功能是数以亿计苹果用户的日常状态 ， 甚至更有数量庞大的用户保持蓝牙时刻开启的习惯 。
此次苹果笔记本曝出的“Bluewave”蓝牙组合漏洞 ， 其威胁能力是“摧毁型”的 ， 尤其是成功利用后带来的连锁性影响 ， 更是无法估量 。 基于这一不稳定因素 ， 360安全专家建议 ， 广大用户应尽快升级修复 ， 以免遭受漏洞攻击 。
就挖掘主流厂商高危漏洞 ， 并协助产品修复的角度而言 ， 360安全大脑早在2019年12月确认此漏洞利用的第一时间 ， 就向苹果官方提交完整的漏洞报告 ， 并正协助苹果公司推进修复 ， 以防不法分子利用这些漏洞对用户造成巨大的损失 。
推荐阅读
- 上游新闻：裁员14％、股价大跌、高管离职……蘑菇街能否力挽狂澜？
- 『界面新闻』成长性堪忧业绩恶化，均瑶乳业上市目的存疑
- 每日经济新闻咨询：自然资源部：自5月1日起部分矿产矿业权审批下放
- 【月份】新闻观察：如何看一季度经济数据？
- 新华社新闻■纽约油价大幅下跌 伦敦布伦特油价上涨
- [闪电新闻]淄博市淄川区罗村镇成立青年人才协会
- 「新京报经济新闻」五一去哪玩？首个“预约旅游”黄金周到来，你准备好了吗
- 「界面新闻」卖彩电还亏钱，四川长虹去年净利同比下滑8成，扣非后更是大亏
- 澎湃新闻：博时基金正式换帅：江向阳“转正”任董事长，仍兼任总经理
- 「每日经济新闻」美股连涨两日道指再度大涨 700 点，三大指数已较年内低点反弹超 30%