导读 在向公司披露安全漏洞和披露者公开披露之间有一个披露截止日期。无论如何，它应该是这样的。这让公司有时间在漏洞公开并不可避免地被恶意实

在向公司披露安全漏洞和披露者公开披露之间有一个披露截止日期。无论如何，它应该是这样的。这让公司有时间在漏洞公开并不可避免地被恶意实体利用之前修复漏洞。在今天的故事中，Google Project Zero 开发者向 Apple 展示了 MacOS 中的一个缺陷，并且超过了标准的 90 天披露期限。

披露截止日期

错误披露截止日期在 90 天后结束，或者补丁已广泛可用。无论哪种方式，该错误都必须公开。最好让每个人都知道，并且由于需要可以找到修复程序。漏洞猎人上的案例!

据谷歌代表称，谷歌确实“就这个问题”与苹果进行了接触，但截至目前，“没有可用的修复方法”。同一位代表说：“Apple 打算在未来的版本中解决这个问题，我们正在共同评估补丁的选项。”

所以，普通读者——请注意 MacOS 更新。它们非常重要，几乎总是如此，但现在比平时更重要。

对于那些对这个问题的来龙去脉更感兴趣的人，让我们来看看发生了什么。这个问题始于用户拥有的文件系统映像，以及 MacOS 允许普通用户这样挂载文件系统映像。

注意：您在上面看到的图像是艺术家 RK Post的画作“Morphling”的修改版。它最初被用作(在我为本文修改它之前)作为克撒传奇中万智牌的卡牌艺术：聚会卡。

缺陷

这一切都始于XNU。XNU 是 Apple 自 1996 年以来一直使用的操作系统内核，使用 Apple Public Source License 2.0 进行更新，并在 MacOS、Apple TV 软件、watchOS、tvOS、iOS 和 audioOS 等设备上使用。

XNU 允许在进程之间进行写时复制数据复制。XNU 的写时复制能力也适用于匿名内存和文件映射。问题在于“内存压力”以及一种在您的虚拟管理子系统不知道的情况下对您的计算机进行更改的方法。

基本上，攻击者可以修改您计算机中的代码，而您永远不会知道它，因为即使是您的操作系统也不会真正“知道”到足以告诉您它的程度。