【BlackHat】研究员吐槽苹果漏洞奖励计划

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士

在2021年美国黑帽大会上，两名研究员指出绕过苹果 macOS 操作系统隐私机制的方法并不少。他们指出，虽然苹果设立了漏洞奖励计划奖励披露漏洞的研究员，但修复漏洞的效率实在令人不敢恭维。

SecuRing 公司的资深IT安全专家 Wojciech Regula 解释称，macOS 的核心在于透明度、同意、和控制 (TTC) 系统。他指出macOS 用户熟悉 TCC 中的隐私标记，它授予应用程序运行的权利。和Offensive Security 公司的内容开发者Csaba Fitzl 一样，Regula 枚举了TCC有可能遭滥用或被绕过从而泄露私密信息的20多种不同方法。

绕过TCC的其中一种方法是通过应用程序插件，而这就是CVE-2020-27937 漏洞所做的。该漏洞由 Regula 发现且已在 macOS 11.0.1 中修复。该插件可利用该漏洞滥用macOS 目录工具授权获得越权权限。

绕过TCC 的另外一种方法是通过应用程序行为。例如，Fitzl 表示当某些应用程序执行某操作时辉移动文件，而这种移动可能启动私密文件的访问权限。这种绕过类型可导致信息泄露。两年来，Fitzl 和 Regula 已报告了至少5个可导致信息泄露的TCC漏洞。

苹果安全奖励计划为何需要改进？

这两名研究员表示他们将找到的漏洞通过苹果公司的安全奖励 (ASB) 计划提交并获得奖励。Fitzl 指出，ASB 中列出了隐私绕过类别，奖金范围从2.5万美元到10万美元不等。虽然可获得巨额奖金，但Fitzl 认为漏洞修复过程实在过于缓慢。另外，他表示苹果在何时修复的问题上并不透明，或者甚至不会告知所报告漏洞是否会被修复。实际上，Fitzl 注意到，至少在一个案例中，苹果花了两年的时间才修复某个漏洞。Fitzl 指出，有时候苹果公司第一次回复漏洞报告的速度非常慢，有一次他过了7个月才收到关于某漏洞报告的第一次回复。

Regula 表示，”苹果应该改进很多方面。例如，我希望能看到关于漏洞报告的当前处理状态的更透明的说明，它们是否被修复或者苹果是否有计划修复，因为我们已经听到很多不打招呼就修复的案例了。“

##你对厂商漏洞奖励计划有哪些想吐槽的地方？欢迎在留言区畅所欲言~

#新书即将发布，敬请期待福利活动哟！

推荐阅读

【BlackHat】亚马逊和谷歌修复DNS即平台中的严重漏洞

Black Hat USA 2021主议题介绍

原文链接

https://www.infosecurity-magazine.com/news/bhusa-researchers-criticize-apple/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

【BlackHat】研究员吐槽苹果漏洞奖励计划相关推荐

苹果全面开放漏洞奖励计划：最高100万美元等你拿
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队刚刚,苹果公司发布"苹果安全漏洞奖励计划",并表示如果研究人员决定捐赠奖励金,则公司会追加同等奖励金并捐赠给符合条 ...
微软将 Teams 移动应用纳入漏洞奖励计划，最高奖金3万美元
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士本周一,微软称已将 Teams 移动应用(安卓版和 iOS 版)纳入漏洞奖励计划. 3月份,微软将 Teams 商业通信平台的桌面客户端纳 ...
欧盟委员会支持5个开源项目漏洞奖励计划，奖金池20万欧元
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士欧盟委员会发布新闻指出,如研究员能在欧盟广泛使用的开源项目 LibreOffice.LEOS.Mastodon.Odoo 和 CryptPad ...
谷歌发布 Linux 内核提权漏洞奖励计划，综合奖金最高超30万美元
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士谷歌在博客中表示推出Linux 内核漏洞奖励计划,为其三个月(截止到当地时间2022年1月31日).如研究员能在实验环境中通过已修复漏洞实现提权 ...
微软推出 Power Platform 漏洞奖励计划
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士本周,微软宣布将开始接收关于 Power Platform 的漏洞报告. 微软指出,研究人员如能发现并报告位于 Power Platform 中 ...
HackerOne漏洞奖励计划扩展至开源漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士 HackerOne 平台扩展互联网漏洞奖励项目,推动开源安全. 开源项目由全球开发人员以个人形式或团队形式运营,很多企业都依赖于此.开源组件以公 ...
谷歌漏洞披露规则增加30天补丁缓冲期；Reddit 公开漏洞奖励计划
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码安全卫士本周,Reddit 宣布在 HackerOne 平台推出公开漏洞奖励计划,最高赏金为1万美元.谷歌 Project Zero 更改漏洞 ...
奇安信代码安全实验室获授华为鲲鹏计算平台漏洞奖励计划合作伙伴
聚焦源代码安全,网罗国内外最新资讯! 近日,华为鲲鹏计算平台漏洞奖励计划合作伙伴授牌仪式在北京举行.奇安信代码安全实验室凭借出色的漏洞攻防研究能力获得授牌,与华为鲲鹏计算平台达成合作伙伴 ...
漏洞奖励计划的五大成功要素问答实录
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队媒体网站 Threatpost 邀请漏洞奖励社区的四名意见领袖参加了一场题为<运行成功的漏洞奖励计划的五大要素>的网络研讨 ...

【BlackHat】研究员吐槽苹果漏洞奖励计划

【BlackHat】研究员吐槽苹果漏洞奖励计划相关推荐

最新文章

热门文章