Windows, Android, macOS i Linux mają wspólny sekret. Ukrywał się ponad 20 lat

Badacze bezpieczeństwa odkryli starą lukę w systemach Windows, Linux, Android i macOS. Jest ona o tyle groźna, bowiem może ujawnić hasła i odwiedzane strony. Przyczyna leży w systemie powiadomień. W określonych warunkach informacje mogą zostać wykorzystane w atakach side channel do śledzenia aktywności użytkownika, odtwarzania wprowadzanych znaków, a potencjalnie także przechwytywania danych logowania.

Podatność dotyczy mechanizmów, których zadaniem jest informowanie aplikacji o tym, że na komputerze lub smartfonie zmienił się jakiś plik. System nie przekazuje przy tym szczegółów o samej zmianie, lecz jedynie sygnalizuje jej wystąpienie. Jak wykazali badacze, nawet tak pozornie ograniczone dane mogą dostarczyć informacji na temat działań użytkownika.

Luka jest obecna w Windowsie, Linuxie, Androidzie i macOS. W Linuxie jest to inotify, które według badaczy jest podatne na to od 2005 roku. Android wykorzystuje FileObserver, którego historia sięga 2008 roku, Windows korzysta z ReadDirectoryChangesW, a macOS z FSEvents. Jak więc widać, mamy do czynienia z lukami, które istnieją nawet od ponad 20 lat i nadal nie zostały wyeliminowane.

Badacze bezpieczeństwa odkryli starą lukę w systemach Windows, Linux, Android i macOS. Jest ona o tyle groźna, bowiem może ujawnić hasła i odwiedzane strony.

Badacze twierdzą, że dostęp do informacji o zdarzeniach związanych z plikami może pozwolić atakującemu analizować zachowanie użytkowników. Przykładem jest analiza odstępów między kolejnymi naciśnięciami klawiszy. W przypadku Linuxa wykorzystano katalog /dev/input, co pozwoliło uzyskać dokładność rozpoznawania wpisywanych znaków na poziomie od 93,1 do 100% w teście obejmującym siedmiu użytkowników. W przypadku ataku prowadzonego zdalnie przez SSH odnotowano 100% dokładności.

Badacze wskazują również na możliwość wykorzystania danych do ustalania, jakie strony internetowe odwiedza użytkownik. W niektórych scenariuszach informacje te mogą zostać połączone z innymi rozwiązaniami, umożliwiając próbę pozyskania danych logowania poprzez UI redress. Nie oznacza to, iż użytkownicy są poważnie zagrożeni, bowiem przeprowadzenie takiego ataku jest dość trudne.

Giganci poinformowani o problemie

Microsoft i Apple zostały poinformowane o wynikach badań około rok temu. Microsoft uznał zachowanie ReadDirectoryChangesW za zgodne z założeniami. Apple również zapoznało się ze zgłoszeniem, jednak według przedstawionych informacji nie wprowadziło zmian opisanych przez badaczy.

Linux otrzymał natomiast częściowe zabezpieczenia. Wprowadzono między innymi poprawkę oznaczoną jako CVE 2025 68788, która ogranicza generowanie przez inotify części zdarzeń dotyczących specjalnych plików. Nie eliminuje ona jednak wszystkich technik przedstawionych w badaniu.