才发布，macOS Mojave 就被曝隐私绕过缺陷
翻译：360代码卫士团队
Mojave 发布当天，研究员 Patrick Wardle 表示，苹果最新的 macOS 隐私保护实现还不够强大。
Patrick Wardle 在长达一分钟的视频中表示，Mojave 的安全机制可被绕过，导致用户的敏感信息如地址簿上的信息被盗。
安全新机制的默认实现
Wardle 表示，他能通过一个无权限 app 即未以管理员权限运行的 app 访问机密的用户通讯录。他指出这个 0day 漏洞源自苹果为多种隐私相关数据实现的保护措施。
他指出，“我在他们的实现中发现了一个微小但百分之百可靠的缺陷”，它可导致恶意或不受信任的 app 绕过这个新的安全机制并越权访问敏感详情。Wardle 表示这种绕过并不适用于 Mojave 所有的新型隐私保护功能，而且基于硬件的组件如网络摄像头并不受影响。
Wardle 表示他会在自己组织的将在11月份夏威夷毛伊岛上举办的 Mac 安全大会上公布技术详情。
Wardle 在演示视频 (https://vimeo.com/291491984)中试图将地址簿中的内容，并且在操作系统要求获取权限时拒绝该操作。他之后运行了一个无权限 app，能够将地址簿数据复制到桌面并且提供访问为演示所填入的条目。
macOS Mojave 中的用户数据保护机制
作为 macOS Mojave 中的新型用户数据保护机制的一部分，用户需要明确提供访问位置服务、通讯录、日历、备忘录、照片和其它敏感信息和文件的权限同意。
也就是说应用程序无法再通过预设的 API 同步进行输入（即同步点击）的方式自动完成这种操作。苹果最新推出的 OS 已经拦截这类访问，直接的用户交互会触发授权提示。
为了减少授权提示带来的困扰，苹果允许用户预先授权能够访问敏感数据的 app。只要将这些 app 添加到系统偏好、安全及隐私面板的系统的应用数据分类即可。
Patrick Wardle 是一位经验丰富的 macOS 黑客，为 Mac 创建了多款免费的安全工具。他在苹果的操作系统中发现了多个安全 bug，他最近偶然发现的一个漏洞已于8月份举行的 Def Con 大会上公布。
推荐阅读
原文链接
https://www.bleepingcomputer.com/news/security/macos-mojave-privacy-bypass-flaw-allows-access-to-protected-files/
本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。