校对：发呆的iris
TextEdit是这款预载在Mac笔记本电脑上貌似不太奇怪的是的文档编辑软件，但透过它能向骇客外泄使用者的IP门牌号。
大卫·伊贝洛辨认出辨认出了两个安全漏洞，当Mac掌控系统使用者下载两个txt文档他用TextEdit关上时，骇客就能获取被害者的IP门牌号。主要问题是TextEdit会自动导出HTML标识符。正如伊贝洛在一则网志文章中解释道，想要促发该安全漏洞，骇客只需在文档文档中置入一些蓄意HTML标识符，就能透过TextEdit向骇客掌控的远距服务器端ping允诺。
根据苹果公司的SP2说明右图，安全漏洞已于去年复原。对此，苹果公司拒绝申明。
伊贝洛说科技媒体中文网站Motherboard，假如TextEdit的安全漏洞与其它安全漏洞一同作用，那会造成更严重的危险，不仅仅是外泄被害者的IP门牌号，更能让骇客掌控被害者的笔记本电脑。比如，借助GoogleZero项目研究员2016年辨认出的两个安全漏洞，与TextEdit安全漏洞一同，就能让骇客在被害笔记本电脑上运行JavaScript。
在一场新浪网闲聊中，伊贝洛说，实现远距标识符执行（Remote Code Execution，即REC），大体上一切就桑利县了！
他很惊讶，TextEdit竟然能够初始化硬碟上其它本地文档和文档夹，甚至向远距服务器端允诺。如此，骇客能借助这些功能将HTML标识符暗藏在貌似非蓄意的文档文档中。
TXT文档中出现有颜色、斜体字的文档是很怪异的，伊贝洛马上意识到假如TXT文档中置入类似涂黑的html标识符，就会使得TXT文档变成这样。
伊贝洛还辨认出苹果公司的蓄意软件保护掌控系统Gatekeeper大体上将所有下载的.txt文档视为是安全的。
伊贝洛在网志中写到，在他辨认出的首批安全漏洞里，有两个安全漏洞是从形迹可疑中文网站下载了TXT文档，Gatekeeper不会隔绝该TXT文档。比如，我辨认出两个从Tor应用程序强制性下载的TXT文档，关上后能绕开Gatekeeper，在没有任何警告的情况下外泄被害者的真实IP门牌号。这不是一种很直接的这些行为。
丹尼尔•Jalgaon莫拉是一名在SecureMac工作的研究人员，他说Motherboard，他在两台旧Mac笔记本电脑上重复操作后，确认伊贝洛辨认出的安全漏洞确实存有。
透过貌似非蓄意的文档文档能向服务器端推送任一数据……这表明规范输入的必要性，特别在文档导出插件里显得更加重要。Jalgaon莫拉在一场新浪网闲聊中说Motherboard，MacOS掌控系统就像是两个萨温齐，来确定两个文档类型和取值插件如何导出内容。
坏消息是，只要你更新一场MacOS掌控系统，就无需担心这个安全漏洞。坏消息是，TextEdit可能会有更多的安全漏洞。伊贝洛说他辨认出了另两个安全漏洞，正在研究中，一旦完成就会向苹果公司报告。
全国网约车司机交流群，交流经验，添加 微信：gua561 备注：加群！
如若转载，请注明出处：https://www.wyczc.com/13138.html