微軟威脅情報團隊發現了一個與 Spotlight 相關的漏洞

微軟威脅情報團隊發現了一個與 Spotlight 相關的漏洞，該漏洞可能允許攻擊者竊取私人文件數據，並在今天的一篇博客文章中概述了這一問題。微軟威脅團隊將該漏洞稱為「Sploitlight」，因為它使用了 Spotlight 插件。

贊助商廣告

據微軟稱，該漏洞繞過了「透明、同意和控制」(TCC) 機制，可能會泄露 Apple 智能緩存的敏感資訊。攻擊者可以利用該漏洞獲取精確的位置數據、照片和影片元數據、照片庫中的人臉識別數據、搜索歷史記錄、AI 電子郵件摘要、用戶偏好設置等等。

TCC 旨在防止應用在未經用戶同意的情況下訪問個人資訊。允許應用文件出現在搜索結果中的 Spotlight 插件已被蘋果沙盒化，並受到嚴格限制訪問敏感文件，但微軟找到了繞過該機制的方法。微軟研究人員修改了 Spotlight 加載的應用包，導致文件內容泄露。

微軟與蘋果分享了繞過漏洞的細節，蘋果在 3 月 31 日發布的 macOS 15.4 和 iOS 15.4 更新中解決了這個問題。