Apple heeft ernstige macOS-kwetsbaarheid niet volledig gesloten met internetsnelkoppelingen

Apple heeft een kwetsbaarheid gepatcht die het mogelijk maakt om code uit te voeren met behulp van internetsnelkoppelingen, maar de oplossing lijkt niet te werken. Hoewel het prefix file:// is geblokkeerd, is de fix hoofdlettergevoelig, dus File:// werkt nog steeds.

Beveiligingsonderzoeker Park Minchan ontdekte de kwetsbaarheid, die zich in de inetloc- snelkoppelingen bevindt, die naar een internetlocatie verwijzen. Toch is hun lot om te buigen met het bovengenoemde voorvoegsel. Dat is niet de bedoeling, aangezien file:// in macOS Big Sur niet wordt geaccepteerd in een inetloc-snelkoppeling, maar Apple heeft deze regel blijkbaar per ongeluk hoofdlettergevoelig gemaakt in zijn besturingssysteem, waardoor het gemakkelijk te misbruiken is.

Minchan had de kwetsbaarheid op 21 september al bij Apple gemeld, maar heeft nog geen reactie gekregen. Ars Technica heeft het op de proef gesteld en wist de kwetsbaarheid op macOS Big Sur 11.6, de meest recente versie van het besturingssysteem, te misbruiken. Minchan waarschuwt dat dergelijke bestanden hun functie uitvoeren zonder verdere waarschuwing wanneer ze worden geopend en dat voorzichtigheid is geboden met .inetloc-bestanden.