IT之家 11 月 28 日消息，科技媒體 404Media 昨日（11 月 27 日）發(fā)布博文，報(bào)道稱蘋果播客（Apple Podcasts）曝出安全隱患，多名用戶反映該應(yīng)用會(huì)自動(dòng)打開并跳轉(zhuǎn)至未訂閱的陌生節(jié)目。

消息源指出不少蘋果用戶近期遭遇了令人困惑的體驗(yàn)：手中的 Apple Podcasts 應(yīng)用會(huì)在未經(jīng)任何操作的情況下自動(dòng)啟動(dòng)，并直接跳轉(zhuǎn)至某些關(guān)于“靈性或教育”（religion, spirituality, and education）類別的陌生節(jié)目。這并非單一的設(shè)備故障，而是一場(chǎng)波及范圍較廣的安全騷擾。

該媒體進(jìn)一步分析發(fā)現(xiàn)，這些自動(dòng)加載的播客節(jié)目并非普通的垃圾內(nèi)容，其標(biāo)題往往包含類似“5../XEWE2′”的亂碼字符，這實(shí)際上是黑客試圖實(shí)施“跨站腳本攻擊”（XSS）的手段。

IT之家援引博文介紹，攻擊者將惡意代碼注入播客標(biāo)題或描述中，試圖誘導(dǎo)設(shè)備執(zhí)行非預(yù)期的指令。盡管 404 Media 指出，目前的攻擊手段相對(duì)初級(jí)，主要造成用戶困擾，而非直接的數(shù)據(jù)竊取，但這無疑暴露了應(yīng)用在代碼過濾層面的短板。

macOS 安全專家、Objective-See 創(chuàng)始人帕特里克?沃德爾（Patrick Wardle）復(fù)現(xiàn)該漏洞。他指出，核心風(fēng)險(xiǎn)在于蘋果允許外部鏈接在“零點(diǎn)擊”且“無授權(quán)提示”的情況下直接喚醒播客應(yīng)用。

與 Zoom 等應(yīng)用在外部喚醒時(shí)會(huì)彈出“是否打開”的確認(rèn)框不同，攻擊者只需誘導(dǎo)用戶訪問植入了特定腳本的網(wǎng)頁(yè)，即可在后臺(tái)強(qiáng)制控制播客應(yīng)用的啟動(dòng)與加載。這種機(jī)制若與更嚴(yán)重的系統(tǒng)漏洞結(jié)合，后果將不堪設(shè)想。