Mikrosoftove bezbednosne ranjivosti u aplikacijama za Mac

U svetu tehnologije, bezbednosni propusti su nažalost česta pojava. Nedavno otkriće Mikrosoftovih bezbednosnih ranjivosti u aplikacijama za Mac izazvalo je zabrinutost među korisnicima i stručnjacima za sajber bezbednost. Ova situacija pokreće važna pitanja o ravnoteži između funkcionalnosti i sigurnosti softverskih proizvoda.

Priroda Mikrosoftovih bezbednosnih ranjivosti

Istraživači iz Cisco Talos tima identifikovali su osam ranjivosti u široko korišćenim Mikrosoftovim aplikacijama za produktivnost na Mac platformi. Ove ranjivosti su prisutne u popularnim programima kao što su Word, Excel, PowerPoint, Teams, Outlook i OneNote. Suština problema leži u dozvoli koju je Microsoft ugradio u svoje aplikacije kako bi omogućio korišćenje dodataka trećih strana.

Ove ranjivosti omogućavaju napadačima da iskoriste slabosti u bezbednosti aplikacija i ubace posebno kreirane biblioteke u sisteme. To im potencijalno daje pristup svim dozvolama koje su korisnici dali relevantnim aplikacijama. Na primer, ako ste dali Microsoft Word-u dozvolu za pristup mikrofonu, napadač bi mogao iskoristiti ovu ranjivost da preuzme tu dozvolu, dajući mu pristup vašem mikrofonu.

Potencijalne posledice i reakcije

Bezbednosni stručnjaci upozoravaju na ozbiljne posledice koje bi mogle proizaći iz ovih ranjivosti. Napadači bi potencijalno mogli da:

• Šalju e-poštu sa korisničkog naloga bez znanja korisnika
• Snimaju audio zapise
• Prave fotografije ili snimaju video bez interakcije korisnika

Microsoft je reagovao na ova otkrića tvrdeći da su ove ranjivosti "niskog rizika". Kompanija argumentuje da neke od njihovih aplikacija moraju dozvoliti učitavanje "nepotpisanih biblioteka" kako bi podržale dodatke koje koriste. Međutim, ova tvrdnja gubi na uverljivosti kada se sazna da je Microsoft, nakon što su ranjivosti prijavljene, ažurirao Teams i OneNote tako da te aplikacije više nisu ranjive. Word, Excel, PowerPoint i Outlook i dalje ostaju ranjivi.

Tehnički aspekti ranjivosti

MacOS operativni sistem ima funkciju zvanu Hardened Runtime koja je dizajnirana da spreči ovakve vrste DLL napada. Problem je u tome što su Mikrosoftove aplikacije omogućile ovlašćenje koje onemogućava ovu zaštitu.

Franchesko Benvenuto, viši istraživač ranjivosti u Cisco Talosu, objašnjava da Microsoft koristi com.apple.security.cs.disable-library-validation ovlašćenje za određene aplikacije kako bi podržao neku vrstu "dodataka". Prema Apple-u, ovo ovlašćenje dozvoljava učitavanje dodataka potpisanih od strane programera trećih strana. Međutim, koliko je poznato, jedini "dodaci" dostupni za Mikrosoftove macOS aplikacije su veb-zasnovani i poznati kao "Office dodaci".

Potencijalna rešenja i implikacije

Istraživači su predložili nekoliko potencijalnih rešenja za ovaj problem. Jedno od njih je da Apple počne da overava dodatke trećih strana kako bi zaštitio od ovakvih ranjivosti. Međutim, ovo rešenje je kompleksnije nego što zvuči i zahtevalo bi da "Microsoft ili Apple potpisuju module trećih strana nakon provere njihove bezbednosti".

Druga, verovatnija opcija, bila bi da se Mac korisnicima prikaže prompt za dozvole koji bi im dao kontrolu prilikom učitavanja dodataka trećih strana. Pretpostavlja se da bi ovo takođe nametnulo vremenska ograničenja za podršku tim dodacima. Očekuje se da će Apple razmotriti ovu opciju, jer je u skladu sa drugim promenama koje uvodi u macOS kako bi ojačao te sisteme.

Šire implikacije za industriju

Ovaj incident ponovo naglašava argument da ne postoji nešto kao sigurna "zadnja vrata" u bilo kom softveru. To postavlja važna pitanja o odgovornosti velikih tehnoloških kompanija u obezbeđivanju sigurnosti svojih proizvoda.

Regulatori bezbednosti moraju povećati pritisak na kompanije koje su najpoznatije po isporuci nesigurnog softvera da poboljšaju svoje prakse. Svaki korisnik na svakoj platformi zaslužuje bolju zaštitu.

U zaključku, otkriće Mikrosoftovih bezbednosnih ranjivosti u aplikacijama za Mac naglašava stalnu potrebu za poboljšanjem sajber bezbednosti. Ono služi kao podsetnik da čak i najveće tehnološke kompanije moraju biti oprezne i proaktivne u zaštiti svojih korisnika od potencijalnih pretnji.