网络安全公司Bitdefender近日披露了iOS“快捷指令”应用中的高风险漏洞。这一漏洞编号为CVE-2024-23204，得分为7.5分（满分为10分）。该漏洞利用“Expand URL”功能绕过苹果的TCC权限系统，将照片、联系人、文件或剪贴板数据等base64编码数据传送到网站。攻击者端的Flask程序会捕获并存储传输的数据，以便进行潜在利用。
TCC是一种保护特定涉及用户个人隐私信息的安全机制，本质上不是“权限”，而是访问控制的一层安全措施。如果用户点击包含恶意内容的快捷指令，就可能将自己的敏感信息传送给攻击者。为了修复这个漏洞，苹果已经于iOS 17.3更新中进行了修复。
我们建议所有使用iOS 17.3、iPadOS 17.3或macOS Sonoma 14.3及以上版本的用户尽快更新系统以免疫此攻击带来的伤害，并保持设备和系统的最新状态以获取更好的安全性保障。
