蘋果Leopard郵件程式含有舊漏洞

資安業者Heise Security近日提出警告，指出蘋果最新作業系統Leopard的郵件程式含有舊漏洞，使用者可能開啟偽裝成JPEG影像檔案的惡意程式。

Heise說明，在Mac的檔案可包含像是利用其他程式來開啟檔案的額外資訊，蘋果作業系統把這些資訊儲存在檔案系統中的資源鏈結（resource fork），來連結該檔案，這種形式的資訊通常僅限於使用者端，同時，在電子郵件中MIME格式的AppleDouble可允許資源鏈結被附加在檔案上，並由Apple Mail自動進行分析。

因此，駭客可以建置一個附加picture.jpg並呈現JPEG圖示的電子郵件，當使用者要開啟該檔時，蘋果電子郵件會分析該檔案的資源鏈結以及執行一介殼描述程式，使得該檔案在沒有提出警告的情況下就被開啟。

去年3月蘋果就曾在Tiger作業系統中修補了類似的漏洞。當時蘋果表示，這是下載確認功能的漏洞，無法在使用者開啟一個不安全的檔案時提出警告，因為有些技術可繞過下載確認功能。

Heise說，蘋果如果不是在Leopard中忘了修補此一漏洞，就可能是當初的修補不夠完整。（編譯/陳曉莉）