macOS 日历漏洞披露：苹果已修复，可零点击窃取 iCloud 数据
创始人
2024-09-14 07:45:16
0次
IT之家 9 月 14 日消息，科技媒体 AppleInsider 昨日（9 月 13 日）发布博文，报道存在于 macOS 系统的漏洞，攻击者利用该漏洞仅需发出 1 个日历邀请，就能完全访问用户的 iCloud 账户，苹果公司目前已经修复。
苹果自 2022 年 10 月至 2023 年 9 月间通过多次更新已经修复了该漏洞。这些修复措施包括加强日历应用内的文件权限管理，并增设多重安全防护层以阻断目录遍历攻击。
安全研究员 Mikko Kenttala 于昨日在 Medium 平台发帖，详细披露了存在于 macOS 日历应用中的零点击漏洞，攻击者利用该漏洞可在日历沙盒环境中添加或删除文件。
攻击者还能利用该漏洞执行恶意代码，访问包括 iCloud 照片在内受害者设备上存储的敏感数据。
IT之家从报道中获悉，该漏洞追踪编号为 CVE-2022-46723，攻击者发送一个名为“FILENAME=../../../malicious_file.txt”的文件，可以将文件置于预期目录之外，存放在用户文件系统中更为危险的位置。
攻击者可以利用任意文件写入漏洞进一步升级攻击。他们可以注入恶意日历文件，这些文件设计为在 macOS 升级时执行代码，尤其是在从 Monterey 升级到 Ventura 的过程中。
相关内容
热门资讯
开源证券：维持陆家嘴“买入”评...
开源 证券研报指出， 陆家嘴中期业绩大幅增长，租赁现金流入稳中有增。公司2026H1实现归母净利润1...
韩国启动全民AI成长阶梯项目，...
2026年8月3日，韩国科学技术信息通信部正式启动全民AI成长阶梯项目，项目整合全民AI学习馆、全民...
从全民AI入门到创业孵化，韩国...
8月3日，财闻海外资讯消息，韩国科学技术信息通信部正式启动全民AI成长阶梯项目，整合全民AI学习馆、...
AI赋能包 | 产品介绍⑪——...
产品介绍 短视频AI剪辑与碰一碰批量发布系统是一套面向企业短视频矩阵营销的“AI剪辑+碰一碰发布”系...
PandaAI李昱琦：AI交易...
上证报中国证券网讯（记者 胡尧）8月1日，在上海虹口举行的PandaAI第三届因子大赛颁奖典礼暨AI...
真人短剧被AI“抢饭碗”？从业...
“去年下半年AI短剧开始兴起，过完年真人短剧行情跌到谷底。真人短剧拍摄量锐减，大量专门承接平台真人剧...
Genspark 发布 Gen...
用 Al-Native 的方式，打造一款新时代的 Office。 8 月 3 日，在 AGI Pla...
原生统一多模态进阶！Sense...
今年4月，商汤科技发布了SenseNova U1，首次完整展示了基于NEO-Unify架构的原生统一...
开放通用智能，MiniMax ...
8月3日，据MiniMax消息，MiniMax正式开源新一代通用视频模型MiniMax H3。据介绍...
商汤科技开源多模态模型Sens...
IT之家 8 月 3 日消息，商汤科技今日宣布，面向社区开源轻量级统一多模态模型的预览版本 Sens...