Mac系统存漏洞 软件更新时可遭攻击

由于在框架上存在的部分漏洞，可导致部分mac应用在接收自动更新过程中可以遭受攻击。

该安全漏洞于今年1月下旬被名为radek的安全专家发现，这些应用使用存在漏洞版本的sparkle，且在服务更新中使用未加密的http渠道，存在潜在风险会将恶意代码传染给终端用户。sparkle框架主要在mac app store之外使用用于促进软件自动更新。

据了解，camtasia、duet display、utorrent和sketch等热门应用均受到影响。安全专家simonemargaritelli通过老版的vlc应用(新版已经修复)演示证实存在这个问题，在os x yosemite和最新版本os x elcapitan系统版本。

github用户在网站上罗列了使用sparkle框架的应用程序，并非所有应用都使用有漏洞的版本，且并非所有应用都在非加密的http渠道上传输数据。通过mac app store上下载且没有使用sparkle框架的应用程序并不会受到影响。

依然有大量的应用存在这样的安全隐患，所以很难准确的知道攻击者使用那款应用进行了攻击。

本文转自d1net（转载）