حتى وقت قريب ، كان برنامج TextEdit من Apple ، والذي تم تضمينه في نظام macOS كمحرر افتراضي للنصوص والمستندات ، يعاني من خطأ خطير للغاية. يمكن أن يكون قد كشف عن عنوان IP الخاص بك ومحتويات الأدلة ، وبالتزامن مع مآثر أخرى يمكن استخدامه لتشغيل JavaScript للسيطرة على جهاز Mac الخاص بك بالكامل.

والخبر السار هو أن شركة آبل قد أصلحت الخلل بإصدار macOS 10.15 Catalina في أكتوبر 2019 ، ولكنه بمثابة تذكير مهم لتحديث أي أجهزة Mac لديك تعمل بإصدارات أقدم منها ماك.

  • ما هو أفضل كمبيوتر محمول? لدينا إجابات لأسئلتك 
  • هنا بعض المدهش صفقات الكمبيوتر المحمول
  • يمكن لـ Apple Glass سرقة أفضل ميزة لـ Apple Watch

لماذا هذا مهم الآن؟ حسنًا ، لأنه يسلط الضوء على مشكلة قد لا يأخذها الأشخاص في الاعتبار عند فتح ملفات نصية. بسبب الطريقة التي يتعامل بها TextEdit مع الملفات النصية ، يمكن جعلها ضارة بطبيعتها.

في الآونة الأخيرة مشاركة مدونة على الخطأ ، الذي تم فهرسته كـ CVE-2019-8761، أشار الباحث الأمني ​​Paulos Yibelo إلى أن Gatekeeper التابع لشركة Apple لم يبلّغ عن الملف المشبوه ، حتى لو تم تنزيله من الويب.

وأوضح أن ذلك لأن معظم منتجات مكافحة الفيروسات والأمن تتعامل مع الملفات النصية على أنها غير ضارة. من المفترض أن تكون سلاسل أحرف خاملة ليس لها سمات مخفية ولا يمكن تنفيذها كبرنامج.

عجائب TextEdit

ومع ذلك ، فإن TextEdit ليس مجرد محرر نصوص. يمكنه أيضًا فتح ملفات Rich Text Format (التنسيق المفضل لـ TextEdit) ومستندات Word وملفات HTML (اللبنات الأساسية للويب).

لذلك تساءل Yibelo عما سيحدث إذا وضع ترميز HTML في ملف نصي وفتحه باستخدام TextEdit.

حسنًا ، كان فتح ملف نصي يحتوي على HTML في TextEdit كافيًا لتنفيذ ميزات HTML و CSS الأساسية واستدعاء الموارد المحلية ، ولكن ليس الوصول إلى الخدمات عبر الإنترنت.

الوصول إلى الإنترنت

ومع ذلك ، اكتشف Yibelo ذلك من خلال استدعاء وظيفة تسمى AutoFS ، والتي ترسل طلبًا لتركيب محركات أقراص خارجية ، كان من الممكن إرسال طلب تثبيت محرك الأقراص إلى خادم على إنترنت.

سيؤدي القيام بذلك إلى الكشف عن عنوان IP الخاص بجهاز Mac لمالك المجال المسمى. وهذا بدوره سيعطيهم فكرة جيدة عن موقعك. لن يرى مستخدم جهاز Mac أي إشارة في نافذة TextEdit المفتوحة إلى أن أي شيء كان يحدث خلف الكواليس.

وجد Yibelo أنه يمكن تصميم الملفات النصية لسرد محتويات الأدلة على جهاز Mac الخاص بالمستخدم ، بما في ذلك أدلة كلمات المرور. هذا في حد ذاته غير ضار ، لكن Yibelo قال إنه سيكون من الممكن إساءة استخدام تنسيق HTML بحيث يمكن للملف النصي إرسال هذه التفاصيل إلى خادم بعيد.

سلسلة الدمار

قال Yibelo نائب اللوحة الأم أنه إذا قام بربط ثغرة TextEdit مع ثغرة أخرى ، فقد تتمكن هاتان المآثرتان معًا من إلحاق المزيد من الضرر بأمان جهاز Mac.

على سبيل المثال ، عيبه مع CVE-2017-2361، أ خلل في الطريقة التي يفتح بها Safari ملفات المساعدة المحلية، كان سيسمح للملف النصي بتنفيذ JavaScript وبالتالي القيام بأي شيء يريده.

"وهذا في الأساس على ما أعتقد!" قال Yibelo لـ Vice Motherboard.

تم تصحيح هذا الخلل في Safari من قبل Apple في أوائل عام 2017 ، ولكن قد لا يزال من الممكن حدوث مآثر مماثلة.

كيف تحمي نفسك

لم تسمع عن هذا الخطأ من قبل لأن Yibelo كشفه بشكل خاص لشركة Apple في عام 2019. تم تصحيحه بهدوء من قبل Apple بإصدار macOS 10.15 Catalina والتحديثات الأمنية المتزامنة لـ 10.14 Mojave و 10.13 High Sierra.

تحقق Apple في أي ادعاءات قبل الإفصاح عن معلومات عنها أو تأكيدها. كما ترون من تحديث أمني نشرت شركة آبل بعد الحقيقة ، أنها تحتوي بالفعل على إشارة إلى هذه الثغرة الأمنية. (ابحث في الصفحة عن "Yibelo".)

في حين أنه من غير المحتمل أن تتأثر ماديًا بهذا الخلل الآن ، فمن الجدير أن تضعه في الاعتبار عندما تتفاعل مع ملفات تبدو غير ضارة عبر الإنترنت.

إذا كان لديك أي أجهزة Mac تعمل بإصدارات من MacOS قبل Catalina ، فسيكون من المفيد تحديث أو تأكيد تطبيق تصحيح منفصل إذا لم تتمكن من استخدام إصدار أحدث من MacOS.

تجدر الإشارة إلى أن الإصدارات القديمة من MacOS شائعة بشكل خاص مع الشركات التي تعتمد على برامج قديمة غير متوافقة مع الإصدارات الأحدث من نظام التشغيل. لذلك يجب على الموظفين الدؤوبين أن يظلوا حذرين من الملفات النصية العشوائية التي يتم إرسالها إليك عبر البريد الإلكتروني ، حيث يمكن أن يكونوا أيضًا حاملين لمثل هذه الهجمات.

  • أكثر: استجابة Apple لشكاوى مكافحة الاحتكار - ما عليك سوى إنشاء تطبيق ويب

احصل على وصول فوري إلى الأخبار العاجلة وأحدث المراجعات والصفقات الرائعة والنصائح المفيدة.

شكرًا لك على الاشتراك في دليل Tom. سوف تتلقى رسالة بريد إلكتروني للتحقق قريبا.

كان هناك مشكلة. يرجى تحديث الصفحة وحاول مرة أخرى.

لا بريد مزعج ، نحن نعد. يمكنك إلغاء الاشتراك في أي وقت ولن نشارك بياناتك مطلقًا دون إذنك.