Исследователи из Cisco Talos обнаружили серьезные уязвимости в приложениях Microsoft для операционной системы macOS, которые могут позволить злоумышленникам злоупотреблять правами. 

Уязвимости можно использовать путем внедрения вредоносных библиотек в приложения Microsoft для получения прав и разрешений, предоставляемых пользователем.

Эти разрешения определяют, может ли приложение получить доступ к таким ресурсам, как микрофон, камера, папки, запись экрана, пользовательский ввод и многое другое, что позволяет злоумышленникам шпионить за пользователем или красть конфиденциальную информацию.

"Мы обнаружили восемь уязвимостей в различных приложениях Microsoft для macOS, с помощью которых злоумышленник мог обойти модель разрешений операционной системы, используя существующие разрешения приложений, не запрашивая у пользователя дополнительной проверки", — заявили исследователи. В случае успеха злоумышленник может получить любые привилегии, уже предоставленные затронутым приложениям Microsoft". 

В macOS Apple реализована многоуровневая модель безопасности, включающая Transparency Consent and Control (TCC) — систему, разработанную Apple для управления доступом к персональным данным и системным привилегиям, требующую явного одобрения пользователя перед предоставлением доступа. Однако эта система не является надежной, предупреждают исследователи. Уязвимости в программах Microsoft позволяют получить одобрение на доступ без дополнительной проверки.

В Microsoft считают эту проблему мало опасной и не спешат ее исправлять.