Een kwetsbaarheid in macOS maakte het mogelijk om door middel van een kwaadaardig txt-bestand het ip-adres van de gebruiker te lekken en allerlei informatie te stelen. Apple maakte vorig jaar bekend dat het beveiligingslek is verholpen. De onderzoeker die het probleem ontdekte en aan Apple rapporteerde heeft nu de details van het lek openbaar gemaakt, dat wordt aangeduid als CVE-2019-8761.

Virusscanners, firewalls en zelfs macOS Gatekeeper beschouwen txt-bestanden als onschuldig, zegt onderzoeker Paulos Yibelo. In het verleden heeft bijvoorbeeld onderzoeker Tavis Ormandy laten zien hoe remote code execution mogelijk was door een kwetsbaarheid in Notepad. Yibelo ontdekte dat het mogelijk is om TextEdit op macOS te laten denken dat een geopend bestand een rtf-html-bestand is, zelfs wanneer de extensie op txt eindigt. "De mogelijkheid om html in een txt-bestand te injecteren opent allerlei potentiële aanvalsvectoren", aldus de onderzoeker.

Eén van deze vectoren kan worden gebruikt in combinatie met de AutoMount-feature, die het mogelijk maakt dat een file:/// url verbinding maakt met een remote server. Door het toevoegen van css en html aan het txt-bestand zal het systeem van de gebruiker, zodra het bestand wordt geopend, verbinding met de remote server maken. Een aanvaller kan zo het ip-adres van de gebruiker achterhalen.

Een andere aanvalsvector die Yibelo ontdekte maakt het mogelijk om door middel van css en het iframedoc attribuut de inhoud van een lokaal bestand aan een niet gesloten style tag toe te voegen en via een 'dangling parameter' terug naar de aanvaller te sturen zodra het txt-bestand wordt geopend. Een exacte beschrijving van deze laatste aanvalsvector zoals een proof-of-concept zijn niet door de onderzoeker gegeven.

Yibelo waarschuwde Apple in december 2019. Apple kwam vorig jaar met een update voor macOS. In een beveiligingsbulletin voor macOS Catalina is informatie over de kwetsbaarheid op 10 augustus 2020 toegevoegd.