Сразу после выхода новой версии macOS (Mojave), 24 сентября 2018 года, известный ИБ-специалист и сооснователь компании Digita Security Патрик Вордл (Patrick Wardle) сообщил об обнаружении 0-day уязвимости, которая позволяет обмануть улучшенные механизмы защиты приватности. Дело в том, что пользователи macOS Mojave должны предоставлять свое явное согласие на доступ к любым локальным сервисам, контактам, календарю, фотографиям, камере, микрофону и так далее. Фактически, это не позволяет приложениям делать все это автоматически, симулируя действия человека.
В своем Twitter Вордл отметил, что «темный режим» новой версии ОС выглядит отлично, и тут же назвал информацию об улучшенной защите приватности «фейковыми новостями». В доказательство своих слов эксперт опубликовал proof-of-concept видеоролик, который можно увидеть ниже.
Видео демонстрирует, что непривилегированное приложение может без авторзации обойти защиту приватности и получить доступ, например, к адресной книге пользователя, и содержащимся там конфиденциальным данным.
Вордл объяснил журналистам Bleeping Computer, что технические подробности нового бага он придержит до конференции Mac Security, которая состоится в ноябре 2018 года. Вместе с тем исследователь назвал баг «тривиальным и 100% надежным», хотя и заметил, что его метод позволяет обойти не все механизмы защиты приватности, реализованные macOS Mojave, и аппаратные компоненты, такие как веб-камера, вне опасности.
