Matheus Mariano, một lập trình viên của công ty Leet Tech (Braxin), đã công bố thông tin về lỗ hổng của APFS và sau đó một lập trình viên khác là Felix Schwartz đã mô phỏng theo và thực hiện thành công việc khai thác lỗ hổng này.
Lỗ hổng trong APFS này được định danh là CVE-2017-7149, có thể giúp xoá đi sự bảo vệ của ổ đĩa mã hoá do APFS cung cấp. Vấn đề có thể thấy rõ khi bạn tạo một ổ đĩa mã hoá APFS trên máy Mac bằng SSD với tiện ích Disk Utility. Sau khi thiết lập gợi ý cho mật khẩu, việc gọi cơ chế gợi ý mật khẩu trong quá trình truy cập ổ đĩa sẽ khiến hệ thống hiển thị mật khẩu ở dạng rõ thay vì hiển thị gợi ý. Hãng Apple đã thừa nhận về lỗ hổng này trong tài liệu đi kèm với bản vá.
Lỗ hổng của Keychain (CVE-2017-7150) được phát hiện bởi Patrick Wardle, công ty bảo mật Synack. Lỗ hổng này cho phép các ứng dụng không được ký truy cập dữ liệu nhạy cảm lưu trong Keychain.
Lập trình viên Schwartz cho rằng, Apple đã công bố High Sierra quá sớm. Các lập trình viên khác cũng nhận định tương tự. Ngay sau khi Apple phát hành bản nâng cấp High Sierra (hay còn gọi là macOS 10.13), vào cuối tháng 9, Brian Lopez (Giám đốc tại GitHub) đã nhận định rằng, có thể Apple đã vô tình đưa ra phiên bản công bố thử nghiệm của High Sierra trong lúc “có quá nhiều phần chưa hoàn thành và chưa được tối ưu hóa”. Marco Arment, lập trình viên cho rằng, việc Apple quá tập trung vào iOS đã gây ảnh hưởng đến việc kiểm soát chất lượng ở các hệ thống khác.
Nguyễn Anh Tuấn
(theo The Register)
16:00 | 24/09/2018
14:00 | 12/01/2018
13:00 | 05/04/2024
Trong một động thái mới nhất, AT&T cuối cùng đã xác nhận rằng họ bị ảnh hưởng bởi một vụ vi phạm dữ liệu ảnh hưởng đến 73 triệu khách hàng.
08:00 | 04/04/2024
Các nhà nghiên cứu bảo mật phát hiện ra plugin của bên thứ ba hiện có dành cho ChatGPT có thể hoạt động như một bề mặt tấn công mới để truy cập trái phép vào dữ liệu nhạy cảm.
07:00 | 18/01/2024
Một kỹ thuật khai thác mới có tên là SMTP Smuggling có thể được tin tặc sử dụng để gửi email giả mạo có địa chỉ người gửi giả và vượt qua các biện pháp bảo mật.
07:00 | 17/01/2024
Tin tặc đang tăng cường nhắm mục tiêu vào các tài khoản trên mạng xã hội X (trước đây là Twitter) của chính phủ và doanh nghiệp. Đáng lưu ý, các tài khoản này đều được xác minh và gắn huy hiệu 'vàng' và 'xám', tin tặc lợi dụng nó để phát tán các trò lừa đảo tiền điện tử, trang web lừa đảo.
Mới đây, Cisco cảnh báo rằng một nhóm tin tặc được nhà nước bảo trợ đã khai thác hai lỗ hổng zero-day trong tường lửa Adaptive Security Appliance (ASA) và Firepower Threat Defense (FTD) kể từ tháng 11/2023 để cài đặt phần mềm độc hại trên các hệ thống mạng viễn thông và năng lượng bị ảnh hưởng tại nhiều quốc gia.
08:00 | 04/05/2024