2024-08-30
思科旗下威脅情報團隊Talos在macOS版的Microsoft 365辦公室套裝軟體，最近找到8個漏洞，並指出攻擊者若是將惡意程式庫注入應用程式，就有機會觸發這些漏洞，從而取得使用者授予應用程式的權限，例如：存取麥克風、視訊鏡頭、資料夾、螢幕錄製、使用者輸入等資源，一旦攻擊者掌握這些權限，就有可能洩露敏感資訊，甚至提升權限。
研究人員表示，攻擊者可利用這些漏洞得到應用程式已取得的權限，從而繞過作業系統的安全防護框架Transparency, Consent, and Control（TCC），過程中完全不需向使用者取得額外的驗證，只要成功利用漏洞，就能直接取得使用者已授予M365應用程式的所有權限。
這些漏洞若遭到利用，可能產生那些後果？研究人員指出，攻擊者可在使用者不知情的情況下利用他們的電子郵件帳號寄信、錄製聲音和影片、拍照，過程中完全無須使用者互動。
其他漏洞與修補
◆思科發布NX-OS更新，修補DHCPv6高風險漏洞
◆日立修補SCADA電力系統重大漏洞
近期資安日報
【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法
【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道
【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用
