Microsoft виявила серйозну уразливість у системі пошуку Spotlight на macOS, яка могла дозволити зловмисникам отримувати доступ до конфіденційної інформації користувачів. Проблема була вчасно виправлена Apple, однак її потенційні наслідки викликали резонанс серед експертів з кібербезпеки.

Дослідники Microsoft Threat Intelligence виявили спосіб обходу системи прозорості, згоди та контролю (Transparency, Consent, and Control, або TCC), яка є частиною механізму захисту macOS. Цей обхід отримав назву Sploitlight, оскільки експлуатація була пов’язана із Spotlight-плагінами.

Через уразливість могли бути розкриті чутливі особисті дані користувача. Зокрема, йшлося про точні геодані, зібрані пристроєм, а також метадані фото та відео — включно з інформацією про час, місце зйомки та технічні параметри.

Також зловмисники могли отримати доступ до даних розпізнавання облич, які зберігаються у фотобібліотеці, що є особливо критичним з огляду на конфіденційність.

Інші потенційно вразливі дані включають історію пошукових запитів, зведення електронних листів, створені з використанням штучного інтелекту, а також налаштування й уподобання користувача.

Цей витік став можливим через втручання у плагіни Spotlight, які зазвичай працюють у ізольованому середовищі. Microsoft з’ясувала, що змінивши структуру файлів застосунку, можна змусити Spotlight обробляти їх у спосіб, що дозволяє отримати доступ до захищених даних.

Компанія Apple отримала звіт про проблему до її публічного розголошення та швидко усунула уразливість. Виправлення було впроваджено в оновленнях macOS 15.4 та iOS 15.4, які вийшли 31 березня 2025 року.

У документі безпеки Apple зазначила, що проблема була вирішена шляхом поліпшеного редагування даних. Крім цього, одночасно було виправлено ще дві уразливості, також виявлені Microsoft