微軟應用程式有八個漏洞，允許駭客監視 Mac 用戶

思科的威脅情報研究團隊 Cisco Talos 部落格文章提到，Mac 版的微軟應用程式存有漏洞，允許駭客監視 Mac 用戶。

這些漏洞存在於 Mac 版的 Outlook 和 Teams 等微軟應用程式，可允許攻擊者在未經使用者同意的情況下存取 Mac 麥克風和攝影機的詳細資訊，此一攻擊手法是基於將惡意庫注入微軟應用程式中，以獲取其權利和用戶授予的權限。

macOS 有個名為「透明度同意與控制」（TCC）的框架，用以管理應用程式存取位置服務、相機、麥克風、庫照片和其他文件等內容的權限。每一個應用程式都需要向 TCC 請求權限，未獲得權限的應用程式無法存取相機和電腦的其他部分。只不過微軟應用程式中的漏洞卻允許惡意軟體使用授予微軟應用程式的權限。

研究人員在 macOS 的各種微軟應用程式發現八個漏洞，攻擊者透過這些漏洞使用現有應用程式權限繞過作業系統權限模型，而無需提示使用者進行任何額外的驗證。例如，駭客可以透過惡意軟體來記錄麥克風收到的音訊，甚至在沒有任何用戶互動的情況下拍照。

研究人員指出，除了 Excel，所有應用程式都能夠錄製音訊，有些甚至可以存取鏡頭。

雖然 Cisco Talos 已向微軟通報此一問題，但微軟認為這些漏洞的風險較低，因為它依賴加載未簽署的程式庫來支援第三方套件。

在研究人員通報漏洞後，微軟更新了 macOS 的 Teams 和 OneNote 應用程式，更改了這些應用程式處理庫驗證權利的方式。只不過 Excel、PowerPoint、Word 和 Outlook 仍未更新，因此較容易受到漏洞的攻擊。

研究人員質疑，為何微軟需停用程式庫驗證，特別是不會載入其他程式庫時。透過使用此權利，微軟規避強化運行時保護措施，可能會讓用戶面臨不必要風險。

不過研究人員也建議蘋果更改 TCC，確保系統更安全。Cisco Talos 建議，第三方套件載入已授予權限的應用程式時，系統應要提示使用者。

（首圖來源：微軟）