Các nhà nghiên cứu bảo mật từ Cisco Talos đã phát hiện ra một số lỗi nghiêm trọng trong các ứng dụng của Microsoft dành cho macOS, cho phép tin tặc có thể ghi lại màn hình hoặc chụp ảnh mà không cần sự đồng ý của người dùng. Đáng chú ý, Microsoft đã nhanh chóng vá lỗi cho Teams và OneNote vào đầu tháng 6, nhưng các ứng dụng khác như Outlook, PowerPoint, Excel và Word vẫn chưa được sửa do được đánh giá là "rủi ro thấp".
Mối quan tâm chính nằm ở cách thức các ứng dụng này xử lý các quyền truy cập dữ liệu nhạy cảm và tài nguyên hệ thống theo khuôn khổ Minh bạch, Đồng ý và Kiểm soát (TCC) của Apple. TCC yêu cầu rằng các ứng dụng phải nhận được "sự đồng ý rõ ràng của người dùng" trước khi truy cập các tài nguyên như danh bạ, lịch, ảnh và vị trí.
Theo Cisco Talos, lỗ hổng bảo mật đặc biệt nghiêm trọng khi các ứng dụng đáng tin cậy bị xâm phạm có thể lạm dụng quyền hạn này để thực hiện hành vi xâm nhập mà không báo trước cho người dùng. Điều này bao gồm khả năng gửi email, ghi âm và truy cập camera từ xa mà không cần tương tác của người dùng.
Thêm vào đó, các ứng dụng của Microsoft còn cho phép tải các thư viện động không được ký, điều này tạo điều kiện cho phần mềm độc hại khai thác các quyền của ứng dụng mà không cần sự cho phép thích hợp. Vì lý do này, Cisco Talos đề xuất rằng Apple nên thêm các lời nhắc cho người dùng trên macOS để quyết định có nên tải một plug-in của bên thứ ba hay không, nhằm tăng cường kiểm soát và bảo vệ bảo mật cho người dùng.
Microsoft chưa cung cấp giải pháp cho các lỗ hổng còn lại, điều này khiến người dùng các ứng dụng này cần phải cảnh giác cao độ về các nguy cơ bảo mật có thể xảy.
CÙNG CHUYÊN MỤC
