360发现5个MacOS蓝牙漏洞 可实现零点击无接触远程利用

苹果的闭环生态又一次迎来了安全危机。

360全球独家发现“Bluewave”漏洞

这一次遭殃的是苹果的MacOS系统。360 Alpha Lab团队全球首家发现了5个MacOS蓝牙漏洞组合，并经官方确认，该漏洞组合全部属于“零点击无接触”远程利用漏洞。 鉴于其不容忽视的摧毁能力，360 Alpha Lab团队将其命名为“Bluewave”漏洞。

(苹果官方致谢360安全团队)

近日，苹果公司连续发布两份重要安全通告，公开致谢360 Alpha Lab团队的贡献。同时，苹果官方已根据360安全团队所提交的漏洞报告发布补丁，并奖励漏洞奖金75000美元。

“零点击”的致命威胁

据360 Alpha Lab团队介绍，“Bluewave”漏洞的披露，就像苹果系统爆出的5枚重磅炸弹。“Bluewave”所天然具备的“零点击”更是成为致命威胁。

因为攻击者能够借此漏洞以无感知、无交互的形态，完成远程攻击利用，从而导致受害目标陷入非法控制。这与一般的漏洞相比，“Bluewave”的杀伤力和潜在破坏力可见一斑。

360 Alpha Lab进一步指出，暴露在外的“Bluewave”漏洞甚至具备无限劫持的可能性。因为“Bluewave”漏洞存在于苹果MacOS蓝牙进程中，而各种蓝牙设备之间又是互相连接，这意味着攻击者一旦攻破某台设备，就可以以其为中心，连锁式攻击与之配对的MacOS设备，整个攻击过程如像波浪一样，无限扩散蔓延。而这正是360 Alpha Lab将其形象地命名为“Bluewave”的原因。

在某程度来说，“Bluewave”漏洞的面积效应是最大的。这种攻击形式不亚于空军作战中的“电磁脉冲”，一旦被黑客利用，可以长时间静默潜伏，然后利用其硬杀伤力和极强传染性，大规模彻底瓦解目标系统。

“Bluewave”漏洞影响范围广

此次苹果笔记本曝出的“Bluewave”漏洞影响范围甚广，覆盖macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2版本在内的所有苹果笔记本。另据360 Alpha Lab补充，CVE-2019-8853漏洞除了上述版本，还将影响macOS Catalina 10.15.3。

360安全大脑早在2019年12月确认此漏洞利用的第一时间，就向苹果官方提交了完整的漏洞报告，并正协助苹果公司推进修复。目前，苹果官网已经发布了更新补丁。360安全专家建议，广大苹果Mac用户应尽快升级修复，以免遭受漏洞攻击。