最近，軟體開發人員 Abraham Masri 發現了一個影響 Apple 裝置的漏洞，讓人想起以前會讓 iMessage 應用程式當掉的「Effective Power」漏洞，這個名為「ChaiOS」的死亡簡訊漏洞會讓收到簡訊的裝置陷入無限當機循環。
Masri 為了展示這項漏洞的概念驗證，他在 GitHub 上製作了一個網站，並將該網站的結構資料 (Metadata) 塞滿數千個多餘的亂碼。他表示，當應用程式在讀取這些多餘的亂碼時就會當掉，甚至導致整個作業系統當機。MacRumors 測試了前述網站之後發現確實會讓 Apple 的訊息程式當掉。
ChaiOS 甚至會影響 MacOS 作業系統。Apple 已在 iOS 11.2.5 第 6 測試版 (Beta 6) 當中解決此問題。相信再過不久，正式的 iOS 11.2.5 和 MacOS High Sierra 10.13.3、watchOS 4.2.2 以及 tvOS 11.2.5 更新就會推出。
一位土耳其的軟體開發人員警告 Apple 注意一個可讓駭客略過 macOS High Sierra 10.13 作業系統安全機制並完全掌控電腦的漏洞。目前 Apple 已公布方法教使用者如何避開此問題，並且已釋出修補更新來解決此漏洞，所有 macOS High Sierra 10.13 的使用者皆應該立即更新。
該漏洞的觸發時機，是當使用者在登入某台含有多位使用者的電腦時，High Sierra 作業系統要求輸入使用者名稱和密碼的視窗。此時若在使用者名稱欄位輸入「root」 ，密碼保留空白，然後按「解鎖」按鈕兩次，就可以登入並完全掌控這台 Mac 電腦。有關這項漏洞的資訊在二週前就開始出現在蘋果開發者論壇 (Apple Developers Forum) 。
惡意程式也可利用此漏洞將自己安裝到電腦上而完全不需密碼。由於這個 High Sierra 作業系統的最新漏洞，使得 駭客可以在電腦上新增系統管理員帳號、變更重要設定、將電腦鎖住讓 Mac 電腦使用者無法登入等等，同時也讓使用者的私密資料暴露於風險中。同時，啟用 遠端桌面連線的 Mac 電腦，還會讓駭客從遠端利用此漏洞登入電腦。
Apple 已確認這項安全問題，並提供了一個避開此問題的快速方法，同時也正在開發正式修補更新，正如其發言人所說：「我們正在製作軟體更新來永久解決此問題。」
macOS High Sierra 10.13 作業系統在今年 10 月已釋出了多項錯誤修正，其中還包括一個可輕易洩漏使用者密碼的漏洞。該作業系統更早的版本也出現過 iMac 硬碟遭到損壞的問題，以及系統核心內的安全機制因程式設計太差而根本沒用。
如何降低風險
Apple 已教導大眾如何啟用 root 帳號並為 root 帳號設定密碼來防止駭客利用此漏洞。另一個作法是直接停用 root 帳號，但在修補更新出來之前，建議還是不要這麼做。因為先啟用 root 帳號之後再將它停用，很可能又回到原點，因為如果漏洞還是存在，被停用的 root 帳號很可能還會遭到利用。
若要變更 root 密碼，請至「系統偏好設定」底下的「使用者與群組」或「帳號」。由於 root 帳號的權限較大，因此建議使用者應選擇較為複雜的密碼，而且不要與其他帳號的密碼相同。
原文出處：New Flaw in macOS High Sierra Allows Anyone Easy Login Access
PC-cillin 雲端版🔴防範勒索 🔴保護個資 ✓手機✓電腦✓平板，跨平台防護３到位
《 想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》
《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。
*手機版直接前往專頁首頁，下拉追蹤中，就能將粉絲專頁設定搶先看。
▼ 歡迎加入趨勢科技社群網站▼
第三方應用程式商店竟可以藏身在 iOS App Store?!
iOS生態系通常被描述為封閉性的生態系統，處在 Apple的嚴格控制之下。但有心人士還是有辦法跳脫這嚴格的控制。還記得 Haima 應用程式嗎？它利用Apple所發放的企業憑證 – 這成本很高，因為所需的憑證要頻繁地改變。
趨勢科技最近發現一個可以從官方 iOS App Store下載的記帳應用程式,該應用程式帶有日文字，但應用程式商店本身是用中文。此外，它也出現在多個國家的App Store內。這個軟體名稱為為「こつこつ家計簿 – 無料のカレンダー家計簿」，也就是家庭記帳軟體。看起來是個家庭財務助手軟體，但實際上是一個第三方應用程式商店。透過這個第三方商店，可以下載被蘋果禁止的越獄應用程式，Apple已經將它從App Store中刪除。
圖1、iOS App Store內的家庭記帳軟體
圖2-4、應用程式啟動的各階段
程式碼（如下圖5）顯示當它首次啟動時會檢查系統使用者設定 plist 內的 PPAASSWOpenKey 鍵值。該應用程式利用這鍵值確認之前是否執行過：如果沒有，就不會有鍵值存在。該應用程式會轉去執行其他動作，要求資料使用權限來存取第三方商店。因為 iOS的權限機制，這請求需要由使用者（圖2）同意。第一次請求失敗讓應用程式轉成記帳本畫面，偽裝成合法應用程式（圖3）。圖3的文字聲稱資料存取權限是從應用程式匯出資料所必須。 繼續閱讀
多年來，Apple 平台一直是網路資安的模範生，而 Microsoft 等其他平台則一直是網路犯罪集團的目標。視工作或娛樂而定，Microsoft 平台及類似產品的消費者，似乎比 Apple 的使用者花費更多的時間來更新資安防護，而非使用產品。
不過，但這樣情況即將不再。趨勢科技發現，Apple 正遭到駭客前所未有的攻擊。因此，若您正在使用 Apple 的產品，那麼您務必學會如何保護自己。以下是您該知道的一些情況：
Apple 因市占率提高,而讓駭客嗅到錢的味道
趨勢科技網路資安策略副總裁 Ed Cabrera 最近在接受 TechNewsWorld 訪問時指出，一些過去不需擔心網路攻擊的品牌 (如 Apple)，現在已經不再安全。網路犯罪集團就像狼群跟著羊群一樣跟著消費者走，而這次，他們的目標就是生產 iPhone 的公司。
Cabrera 表示：「Apple 產品的普及率已較以往大幅提升，網路犯罪集團隨時都在關注消費者和企業的動向。如果有更多消費者和企業開始使用 Apple 產品，那他們的注意力就會轉到 Apple，因為他們嗅到了錢的味道。」
簡單計算一下就知道 Cabrera 說的沒錯。幾年前，Microsoft CEO Steve Ballmer 突然離開公司，雖然外界對他驟然離職有諸多揣測，但 TechCrunch 引述華爾街日報指出他很可能是被迫離職，因為公司在他的帶領之下發展得不夠快。TechCrunch 寫道：「他們希望動作可以更快一點」，所以 Ballmer 便下定決心離開。 繼續閱讀
iOS上的Siri讓日常工作變得更加容易；無論是詢問到最近加油站的路線或是保持與不斷成長社交媒體網路的聯繫。iOS使用者只要講出聯絡人姓名，手機就會將電話號碼和電子郵件地址帶出來。然而，便利是有代價的：個人資料。
如果我告訴你，只要30秒，就可以讓任何人從朋友開啟Siri功能的iOS設備上拿到你的姓名、電子郵件地址、電話號碼甚至是你的照片，不管手機有沒有上鎖呢？會擔心嗎？
iOS行動設備上的Siri可能被濫用的情境是會讓任何人使用語音辨識來取得設備上的資料，即便有設定密碼。在理想狀態下，密碼鎖定應該會防止任何對行動設備上所儲存資料的未經授權存取，就跟電腦上的密碼一樣。鎖定的設備不該洩漏所有者的身份和聯絡方式，以及所有者的朋友、家人和聯絡人。Siri可以繞過這些而在鎖定的行動設備上提供詳細資料及其他功能。
自從Siri出現之後，就已經有多個相關討論串出現在Apple支援論壇上。然而，我們想要強調安全性和隱私方面的風險，並讓我們的讀者能夠注意到。
Siri可以做什麼？
一旦任何人可以實際上拿到你的行動設備，就可以用語音辨識呼叫多種命令，包括可以存取名字、電話號碼、行事曆及其他更多功能。這裡是鎖定而有啟用Siri的iOS行動設備上可以使用的命令列表：
下圖示範使用者如何利用Siri命令來取得資料和執行其他操作：
圖1-4、各種Siri命令