關(guān)鍵詞

bug

科技媒體 404Media（11 月 27 日）發(fā)布博文，報道稱蘋果播客（Apple Podcasts）曝出安全隱患，多名用戶反映該應(yīng)用會自動打開并跳轉(zhuǎn)至未訂閱的陌生節(jié)目。

消息源指出不少蘋果用戶近期遭遇了令人困惑的體驗：手中的 Apple Podcasts 應(yīng)用會在未經(jīng)任何操作的情況下自動啟動，并直接跳轉(zhuǎn)至某些關(guān)于 " 靈性或教育 "（religion, spirituality, and education）類別的陌生節(jié)目。這并非單一的設(shè)備故障，而是一場波及范圍較廣的安全騷擾。

該媒體進(jìn)一步分析發(fā)現(xiàn)，這些自動加載的播客節(jié)目并非普通的垃圾內(nèi)容，其標(biāo)題往往包含類似 "5../XEWE2 ′ " 的亂碼字符，這實際上是黑客試圖實施 " 跨站腳本攻擊 "（XSS）的手段。

博文介紹，攻擊者將惡意代碼注入播客標(biāo)題或描述中，試圖誘導(dǎo)設(shè)備執(zhí)行非預(yù)期的指令。盡管 404 Media 指出，目前的攻擊手段相對初級，主要造成用戶困擾，而非直接的數(shù)據(jù)竊取，但這無疑暴露了應(yīng)用在代碼過濾層面的短板。

macOS 安全專家、Objective-See 創(chuàng)始人帕特里克沃德爾（Patrick Wardle）復(fù)現(xiàn)該漏洞。他指出，核心風(fēng)險在于蘋果允許外部鏈接在 " 零點(diǎn)擊 " 且 " 無授權(quán)提示 " 的情況下直接喚醒播客應(yīng)用。

與 Zoom 等應(yīng)用在外部喚醒時會彈出 " 是否打開 " 的確認(rèn)框不同，攻擊者只需誘導(dǎo)用戶訪問植入了特定腳本的網(wǎng)頁，即可在后臺強(qiáng)制控制播客應(yīng)用的啟動與加載。這種機(jī)制若與更嚴(yán)重的系統(tǒng)漏洞結(jié)合，后果將不堪設(shè)想。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點(diǎn)個贊

支持「安全圈」就點(diǎn)個三連吧！