Приложение Почта в macOS содержало 0-click уязвимость

Приложение Почта в macOS содержало 0-click уязвимость

Приложение Почта в macOS содержало 0-click уязвимость

Исследователь в области кибербезопасности опубликовал подробности уязвимости под идентификатором CVE-2020-9922, затрагивающей приложение «Почта» в операционной системе macOS. Эксплуатация подразумевает отправку жертве двух ZIP-вложений в письме.

В сущности, это 0-click брешь, позволяющая добавлять или модифицировать любой произвольный файл внутри песочницы приложения Apple «Почта». Таким образом, в умелых руках уязвимость становится вектором для самых разных типов кибератак.

По словам основателя и гендиректора SensorFu Микко Кенттала, успешная эксплуатация бага может открыть злоумышленнику доступ к конфиденциальной информации, а также позволить ему изменить настройки приложения «Почта» (включая установку редиректов).

Более того, дыру CVE-2020-9922 вполне можно использовать для червеобразных атак, в случае которых некие вредоносные файлы будут пересылаться за счёт самих жертв.

Поскольку Apple уже успела пропатчить уязвимость с выходом macOS Mojave 10.14.6, macOS High Sierra 10.13.6 и macOS Catalina 10.15.5, специалист опубликовал технические подробности бага.

Интересно, что Кенттала обнаружил CVE-2020-9922, отправляя текстовые сообщения и системные вызовы приложению «Почта». Эксперт быстро понял, что у софта есть занятная функция, позволяющая распаковывать вложения, автоматически упакованные другим почтовым клиентом.

Позже Микко понял, что часть распакованных файлов остаётся во временной директории, выполняющей сразу несколько функций. Другими словами, потенциальный злоумышленник может создать точку опоры для дальнейшей атаки.

Для эксплуатации преступнику достаточно будет отправить жертве два ZIP-архива, которые автоматически распакует приложение «Почта». CVE-2020-9922 получила 6,5 баллов по шкале CVSS — средняя степень опасности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Китайские разработки в сфере ИИ почти догнали американские

По итогам 2024 года китайские разработки в сфере искусственного интеллекта практически сравнялись по производительности с американскими. Еще в 2023 году отставание китайских продуктов от решений из США измерялось двузначными показателями.

О достижении паритета сообщила англоязычная китайская газета South China Morning Post со ссылкой на результаты исследования Стэнфордского университета.

Ключевым результатом, по мнению автора статьи Бена Цзяна, стали итоги тестирования в рамках Massive Multitask Language Understanding (MMLU). В 2023 году отставание китайских моделей составляло более 17%, тогда как в 2024 году оно сократилось до 0,3%.

Согласно отчету Стэнфорда, китайские компании, такие как Alibaba Group Holding, ByteDance, Tencent Holdings, DeepSeek и Zhipu AI, уверенно вошли в число мировых лидеров в области ИИ. При этом китайские модели демонстрируют высокую производительность при меньших вычислительных затратах, что привлекает внимание международного сообщества.

Наибольшую популярность на мировом рынке получили DeepSeek V3 — благодаря низким требованиям к ресурсам, а также серия Qwen, показавшая высокую эффективность в решении специализированных задач. Однако, как выяснилось, DeepSeek достаточно легко поддается манипуляциям, в результате чего может быть использован для создания вредоносного ПО, включая кейлоггеры и программы-вымогатели.

Для сравнения, проект Llama 4 от Meta (признана в России экстремистской организацией и запрещена) оказался в центре скандала, связанного с манипуляцией результатов тестирования.

Еще в 2023 году Китай вышел на первое место в мире по числу научных публикаций, посвящённых ИИ. На его долю пришлось 23,2% всех публикаций против 15,2% в странах ЕС и 9,2% в Индии. По количеству патентов отрыв еще более значителен: почти 70% — в три раза больше, чем у США.

Одним из потенциальных рисков аналитики называют сокращение инвестиций в китайские стартапы со стороны частных инвесторов. Это связано с запретом американских властей на вложения в китайские ИИ-компании. В результате объем финансирования отрасли в США более чем в 12 раз превысил китайский.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru