Spotlight漏洞被苹果修复：可窃取AI邮件摘要等Apple智能敏感数据

　　IT之家 7 月 29 日消息，微软威胁情报团队昨日(7 月 28 日)发布博文，报告称在苹果 macOS 系统上，发现和 Spotlight 相关漏洞，被黑客利用可窃取私人文件数据。

　　IT之家注：Spotlight 是苹果公司旗下的 macOS 和 iOS 操作系统上的一项快速搜寻、随打即显、系统内置的桌面搜索引擎，工作原理的概念类似 Windows 索引服务。

　　微软威胁情报团队在报告中指出，这是一个透明度、同意和控制(TCC)绕过漏洞，可以泄露由 Apple 智能(Apple Intelligence)缓存的安全信息。

　　TCC 旨在防止应用程序在用户同意之前访问个人信息，而 Spotlight 插件支持应用程序文件出现在搜索结果中，苹果对其进行了沙盒处理，严格限制访问敏感文件的能力。但微软研究人员找到了一种方法，通过调整 Spotlight 拉取的应用程序包，导致文件内容泄露。

　　

 

　　攻击者可能利用该漏洞获取精确的位置数据、照片和视频的元数据、照片库中的人脸识别数据、搜索历史、AI 邮件摘要、用户偏好等。

　　

 

　　苹果在 3 月 31 日发布的 macOS 15.4 和 iOS 15.4 更新中解决了该问题。由于苹果在漏洞公开之前已经修复了它，因此目前并没有证据表明，已经有黑客利用上述漏洞发起攻击。

　　苹果更新的安全支持文档中表示，问题通过改进数据编辑得到解决。同时，苹果还修复了另外两个由微软报告的漏洞，包括改进符号链接的验证和改进状态管理。

　　

 

　　图源：微软博客