{"id":14271,"url":"\/distributions\/14271\/click?bit=1&hash=51917511656265921c5b13ff3eb9d4e048e0aaeb67fc3977400bb43652cdbd32","title":"\u0420\u0435\u0434\u0430\u043a\u0442\u043e\u0440 \u043d\u0430\u0442\u0438\u0432\u043e\u043a \u0438 \u0441\u043f\u0435\u0446\u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432 \u0432 vc.ru \u2014 \u043d\u0430\u0439\u0434\u0438\u0441\u044c!","buttonText":"","imageUuid":""}

Уязвимость в macOS High Sierra позволила получить права администратора без пароля Статьи редакции

Для активации прав «суперпользователя» нужно оставить поле пароля пустым и несколько раз нажать Enter.

В операционной системе для Mac High Sierra обнаружена уязвимость, которая позволяет получить права администратора без пароля. На проблему обратил внимание пользователь Twitter Леми Орхан Эргин.

Чтобы получить доступ к правам администратора, пользователю нужно ввести в диалоговом окне имя root, поле пароля оставить пустым и несколько раз нажать Enter. После этого пользователь сможет просматривать все файлы, сбрасывать и изменять пароли устройства и привязанного к нему Apple ID. Этот способ работает также на экране входа в систему компьютера.

Dear @AppleSupport, we noticed a *HUGE* security issue at MacOS High Sierra. Anyone can login as "root" with empty…

Чтобы защититься от уязвимости, нужно установить свой пароль для пользователя root, рекомендовали в Apple.

Обновлено в 19:40. Apple выпустила обновление для High Sierra, в котором устранила уязвимость. Чтобы установить его, нужно открыть магазин Mac App Store и перейти на вкладку «Обновление». В примечании к последней версии macOS говорится: «Установите это обновление как можно скорее. Apple приложила все усилия, чтобы исправить вчерашнюю уязвимость».

В официальном комментарии Apple, поступившем в редакцию vc.ru, говорится, что в скором времени обновление будет установлено автоматически на всех компьютерах с последней сборкой macOS High Sierra.

Безопасность — главный приоритет для каждого продукта Apple, но, к сожалению, мы допустили ошибку в этой версии macOS.

Когда во вторник днём наши специалисты по безопасности узнали о проблеме, мы сразу же начали работу над обновлением, которое полностью устраняет уязвимость в безопасности. Сегодня утром, начиная с восьми утра по Калифорнии, обновление стало доступно для загрузки, а немногим позже оно будет автоматически установлено на всех системах macOS High Sierra с последней версией (10.13.1).

Мы крайне сожалеем о допущенной ошибке и приносим извинения всем пользователям Mac, как за саму возможность этой уязвимости, так и за уровень озабоченности, который она вызвала. Наши пользователи заслуживают лучшего. Мы проводим анализ наших процессов разработки, чтобы предотвратить повторение подобных ситуаций в будущем.

пресс-служба Apple
0
61 комментарий
Написать комментарий...
Serge Arsentiev

Это Fatality :(
 
Оставляли наверное для отладки, а потом забыли закомментировать (убрать) этот кусок в коде? Мы ведь никогда не узнаем теперь имена = из той рабочей группы, которая занималась системными вещами, ездила на всякие конференции, пыжилась и надувала щеки, ссылаясь на NDA, и прохлопала такую детскую уязвимость :(
 
А правда, почему Fatality в Mortal Kombat сложнее, чем вход по root в Mac?

Ответить
Развернуть ветку
AS

High Sierra вообще херня какая-то.
Мало того, что ничего нового, кроме APFS — ФС, конечно, крутая, но маки и так достаточно (очень) шустрые даже на мега-слабом железе, чтобы пользователь не заметил разницы по сравнению с прошлой ФС. А на не-эппловских контроллерах её юзать нельзя, ибо может привести к тотальному пиздецу файлов — и об этом эпол молчит.
Так ещё и эпичные баги вроде этого, или когда они перепутали поля пароля и хинта.

Макбуки обновил — разницы не увидел. Десктоп-хакинтош обновлять не буду, буду ждать 10.14, ибо толку от 10.13 нихера.

С iOS 11 та же хрень. Лагает, жрёт аккум как не в себя. Крайне нелогичный UX, например: Bluetooth после отключения от девайса в панели управления назад автоматом уже не приконнектится, зато к ёбаному вайфаю в метро цепляется сразу же, как увидит, и приходится каждый раз отключаться ручками.
С UI тоже беда: повсеместные жирные шрифты — ад, несогласованность таких банальных вещей, как отступы в системных (!) приложениях — совсем пиздец.

Такое чувство, что криворуких девелоперов и QA из команды iTunes начали в iOS/macOS перетаскивать. Ладно хоть tvOS всё ещё годнота.

Ответить
Развернуть ветку
Serge Arsentiev
А на не-эппловских контроллерах её юзать нельзя,

Об этом было широкое обсуждение в узких кругах ... но действительно по всем - информация не разошлась, похоже.

С iOS 11 та же хрень. к вайфаю в метро цепляется сразу же,
как увидит, и приходится каждый раз отключаться ручками.

Слышал про это в интервью тов. Донских, но не поверил.
А что, на уровне каких-то системных настроек это НИКАК не блокируется?

С UI тоже беда: повсеместные жирные шрифты

Так, сколько им форм-факторов надо теперь _одновременно_ поддерживать - и сколько версий размеров окон/элементов интерфейса/шрифтов тестировать ... похоже что они выбирают новинку (будущего флагмана), и буквально намеренно портят отображение элементов на устройствах прежних моделей.
Такое уже было, и не раз - новая операционка сразу делает прежние (не новые) устройства менее удобными, чем они были.

Ответить
Развернуть ветку
AS
Об этом было широкое обсуждение в узких кругах ... но действительно по всем - информация не разошлась, похоже.

Честно говоря, нихрена не понял) Читал в хакинтошном блоге, что на 3rd-party контроллерах из-за особой реализации CoW может быть потеря данных, особенно при потере питания, независимо от "крутизны" SSD.

А что, на уровне каких-то системных настроек это НИКАК не блокируется?

Можно выключить WiFi/BT в настройках, можно "забыть" SSID в настройках WiFi. Но запретить подключаться к известным ssid вифи из центра управления (в ведре он "вытягивается" из нотификейшн бара) нельзя. А вот для BT оно так не работает, в этом и косяк — дикое несоответствие UX для аналогичных действий.

Так, сколько им форм-факторов надо теперь _одновременно_ поддерживать - и сколько версий размеров окон/элементов интерфейса/шрифтов тестировать

Пф, я Android-разработчик с семилетним стажем, как юзер я с ведра ушёл не просто так ещё 5 лет назад (эх, если бы BBOS 10 не сдохла…), и могу заверить, что фрагментацией ведроида тут даже и не пахнет. Это проёб дизайнеров, которые не смогли доказать манагерам, что внешний вид важнее, чем вызванная общим трендом охуенно больших лопат проблема "чем занять такой охуенно большой дисплей". Причём лично мне формфактора iPhone 6 уже давно не хватает для потребления контента, при этом iPhone 6+ (7+/8+) для меня физически слишком велики, я себе возьму десятку сразу, как только она станет стоить ~67k, ибо она идеальна для меня с точки зрения соотношения "размер_дисплея/размер_девайса". Но, что печально, в эппле просрали все полимеры, забив полезное пространство дисплея жирными шрифтами.
Причём, как я уже тут писал, проблема не только в расходе лишнего места. Оно выглядит уёбищно даже для меня, хотя я разработчик, а не дезигнер. Вот на кой хер выделять жирным (как мамаша дизайнера) шрифтом текст на кнопках в аппсторе? Чтобы слабовидящие смогли прочитать? Так для них есть Accessibility-тулзы… Пиздец короче, жопа горит с эппла в последний год, но и податься-то больше некуда.

Ответить
Развернуть ветку
Serge Arsentiev
Честно говоря, нихрена не понял

Люди жаловались предметно, сталкиваясь с проблемами - реклама обновления действительно не содержала (умалчивала) про ограничения, люди тыркались и у них не получалось - писали в support и получали стандартные отписки, по быстроте которых понимали что таких как они много.

Но запретить подключаться к известным ssid вифи
из центра управления нельзя

Ясно .. только попытки поиска/подключения WiFi ведь дико жрут аккумулятор, интересно, они апдейт будут делать на эту тему, или как?

горит с эппла в последний год, но и податься-то больше некуда.

К сожалению, это так.
Мне правда тут приснилось ... в легком алкогольном угаре, что вот-вот кул хацкеры придумают виртуальную машину на Android, в которой можно будет запускать iOs, обманывая ее что это вовсе не Samsung, а Apple iphone 11 с чуть-чуть нестандартным экраном :)

Ответить
Развернуть ветку
AS
Люди жаловались предметно, сталкиваясь с проблемами - реклама обновления действительно не содержала (умалчивала) про ограничения

На "нормальных" маках всё должно быть ок. По ToS macOS пользователь не имеет права ставить macOS на не-эппловское железо. На эппловском железе лично у меня всё было ок, на не-эппловском проверять очкую.

Ясно .. только попытки поиска/подключения WiFi ведь дико жрут аккумулятор

Да нет особой разницы, на самом деле, судя по всему… Больше батарейки жрёт повсеместный ML и дисплей.
Я тестил так:
1. iPhone 6 10.3.3 + старая ушатанная (3 года) батарейка + вкл wifi + бт уши с aptx.
2. Тот же самый iPhone 6 11.1 + абсолютно новая оригинальная батарейка + полностью выкл wifi + бт уши с aptx.

В обоих случаях жор батарейки от BT просто лютый, без БТ чуть получше в первом кейсе. Я хз чё там в эпле делают с БТ, может биткоины майнят, но наушники изи держат сутки (!) блять по БТ, а айфон за пару часов в ноль.
Но, суть эксперимента такова, что от вайфая батарейка особо не зависит — эта хуйня жрёт её всегда.

Мне правда тут приснилось

Лично я андроид не перевариваю, даже не из-за проф. отвращения (единственные +- нормальные девайсы делает самс, а от самса меня уже по работе тошнит): Android, начиная с 6.0 — уже очень годная ось. Просто как-то не моё, плюс вся экосистема дома эппловская — макось, эплтв и тд. Даже если получится запускать iOS аппы на ведре, проблемы это не решит. Я отлично чувствовал себя на BB OS 10 — они портанули себе виртуалку от ведра, и большинство андроид-аппов без проблем запускалось на Блекберри, и это было шикарно — очень удобно (интерфейс BBOS10, жесты, хардварная QWERTY-клава, все дела) + андроид-аппы + никаких тормозов (качественный порт VM + RTOS). Единственная на тот момент причина, почему я пересел на iOS с BBOS — у блекберри был квадратный экран, который был абсолютно неюзабелен как навигатор в тачке. И пересел я на iPhone 4 (!), только потом уже купил себе шестёрку.
И, опять же, пересел я не из-за экосистемы — первый "нормальный" айфон я купил уже будучи уверенным (3 года) пользователем макоси, и только из-за отсутствия выбора (Z10 я отмёл сразу из-за отсутствия клавы).
А теперь уже выбора нет совсем: Android — просто не моё, у меня штук 10 Android-девайсов сейчас по квартире раскиданы, ну прям никак, хоть и ось хорошая; iOS — ось неплохая, моё, но катится в какое-то дерьмо + девайсы стоят невероятного бабла в этой нашей РФ.
И портирование VM тут никак не поможет. Хуй знает, короче, чё делать. BB были идеальными, но Apple их убила.

Ответить
Развернуть ветку
Serge Arsentiev
На эппловском железе лично у меня всё было ок, на
не-эппловском проверять очкую.

Речь шла об _определенных_ моделях Apple, где установка системы была возможна - и этими моделями оказались только довольно новые (после какого-то года, причем _не все_).
Извините, в деталях не помню, надо искать.
Либо на хабре читал, либо тут же, на vc.ru ...

тест WiFi и BT

У меня неустойчивый WiFi в доме (соседние точки активно сражаются друг с другом, постоянно меняется канал) - так что даже просто лежащий iphone / ipad с включенным WiFi из-за этих прыжков и отключений/подключений уверенно теряет заряд.
Про Bluetooth на iphone я и вовсе не вспоминаю - он был включен по умолчанию на новом iphone, и просто после его отключения казалось что телефон перестал разряжаться вовсе - 100% в режиме ожидания продержались пару дней (так получилось, тлф. не пользовались 2 дня).

Ответить
Развернуть ветку
AS
Либо на хабре читал, либо тут же, на vc.ru ...

Скорее всего речь шла об iMac на HDD. Если у девайса HDD, а не SSD, то фс не конвертится в APFS.

С Wi-Fi я последние полгода замечаю такую проблему: у меня роутер AirPort Express, и, независимо от расстояния и от модели айфона, коннект с WiFi периодически теряется xD Намудрили они что-то там.
На макбуках, при том, такой проблемы нет. Онли айфон.

Ответить
Развернуть ветку
Serge Arsentiev

Угу ... в любом случае Ваш технический опыт с Mac / iPhone / Android вижу так раз в 10 побольше моего .. так что спорить с Вами как бы не о чем (либо соглашаемся, либо Вы знаете больше), а спать уже начинает хотеться :)
Виртуально жму руку, и до новых встреч!

Ответить
Развернуть ветку
AS

Технический — да, юзерский — тут сугубое ИМХО, без категорических высказываний.
У многих тут могло сложиться впечатление, что я — хейтер ведра, но я с ним очень давно на самых разных уровнях (даже форки когда-то пилил), и я скорее фан iOS, а Android считаю очень хорошей осью, которой очень не хватает хороших вендоров :)

Взаимно, удачи ;)

Ответить
Развернуть ветку
AS

Ну и в iOS у меня опыт разраба на уровне среднего джуниора, я всё же куда больше по ведру.

Ответить
Развернуть ветку
Serge Arsentiev
Перспективы

Исторический опыт показывает, что Android победит, как победила когда-то PC с msdos / Windows - победила закрытый и секретный "я лучше знаю что Вам надо делать" Mac.
 
Я уж не знаю как они на Android исправят явную "бесчеловечность" интерфейса (ну вот не такой какой-то он, толи на европейцах не тестируют, толи еще что - выглядит как криво локализованная под английский японская компьютерная игра для приставки).
Но, думаю, исправят. А пока да, пока только Apple, хотя бы потому что банк-клиенты ломают преимущественно на Android.

Ответить
Развернуть ветку
AS

Ну, это, конечно, срач очередной :) Но хоть эппл и обсирается с последними моделями айфонов, лучше них пока не делает никто. Большинство людей, которые хотят себе качественный телефон, который не тормозит и не ломается, без писькомерства а-ля "больше гигагерц", выберут себе айфон. Самая платёжеспособная аудитория сидит на iOS — iOS до сих пор зарабатывает разрабам больше, чем Android. Самый продаваемый девайс среди ВСЕХ в РФ — iPhone SE, и это хоть и дешёвый, но премиум :)

Да и винда куда более закрыта, чем макось. Если уж разводить срачи, то макось — сертифицированный UNIX, в отличие от того же Linux, который лишь UNIX-like :D

Ответить
Развернуть ветку
58 комментариев
Раскрывать всегда