Dropbox的紅隊演練意外找出macOS的3個零時差漏洞

雲端硬碟業者Dropbox上周指出，該公司的安全團隊攜手第三方資安業者Syndis進行「紅隊演練」（Red team）時，意外發現了蘋果macOS的3個安全漏洞，串連這3個漏洞將能針對蘋果系統執行遠端程式攻擊。

所謂的紅隊演練通常是邀請第三方的資安高手針對企業服務展開模擬攻擊，以測試企業系統的牢固與否，而Dropbox及Syndis該次合作的目的包含測量Dropbox偵測及警報系統的穩定狀態、團隊的回應能力，以及若駭客成功入侵了，能否追蹤駭客的活動。

不過，Syndis在進行模擬攻擊時卻意外地在Dropbox員工所使用的蘋果電腦上發現了3個macOS上的零時差漏洞，成功串連這3個漏洞的駭客即可發動遠端程式攻擊。

這3個漏洞分別是CVE-2017-13890、CVE-2018-4176與CVE-2018-4175。其中，CVE-2017-13890藏匿在CoreTypes中，CoreTypes陳列了各種已確定是安全的，可自動被Safari開啟的統一類型標識符（Uniform Type Identifiers，UTI），但在造訪一個惡意網頁時，卻可能被掛載一個磁碟映像檔；而CVE-2018-4176漏洞即是存在於磁碟映像檔（Disk Images）中，當掛載一個惡意的磁碟映像檔時，將可執行應用程式。

至於存在於LaunchServices的CVE-2018-4175的漏洞則允許惡意程式繞過強制性的程式碼簽署程序，這3個環環相扣的漏洞將允許駭客誘導macOS用戶造訪惡意網頁，再自遠端執行任意程式。

Dropbox表示，Syndis在紅隊演練中以這3個真實存在的漏洞測試了該公司的安全團隊遭到零時差攻擊時的準備程度，同時造福了Dropbox、蘋果及macOS用戶。

Syndis於今年2月知會了蘋果，蘋果則很快地在3月便修補了相關漏洞。