近日，苹果公司连续发布了两条重要的安全公告，并公开感谢AlphaLab团队发现了5个MacOS蓝牙漏洞。这是苹果MacOS系统极为罕见的漏洞组合，经官方确认，该漏洞组合均属于“零点击无接触”远程利用漏洞。鉴于其不容忽视的破坏能力，该漏洞组合的发现者和报告者——360AlphaLab团队将其命名为“Bluewave”漏洞。同时，苹果官方已经根据360安全团队提交的漏洞报告发布了补丁，并悬赏7.5万美元的漏洞赏金。苹果MacOS蓝牙漏洞的破坏力堪比“电磁脉冲”。“这个致命属性。众所周知，虽然它们都是高危漏洞，但很多漏洞的触发仍然很大程度上依赖于用户预授权或交互式操作，它们的实际威胁被大大消除。但是，这种漏洞的稀有性“Bluewave”漏洞在于攻击者可以在无感知、无交互的情况下完成远程攻击和利用，从而导致受害人陷入非法控制。与一般漏洞相比，其杀伤力和潜在破坏力“Bluewave”可见一斑，在确认了“零点击”的高危特性后，360AlphaLab立刻意识到了一个更令人不安的事实：“Bluewave”漏洞存在无限劫持的可能性。要知道的是AppleMacOS的蓝牙进程存在“Bluewave”漏洞，各种蓝牙设备相互连接，这意味着一旦攻击者攻破一个c某种装置，他可以以它为中心，进行连环攻击。对于配对的MacOS设备，整个攻击过程就像一个波浪，无限蔓延。而这也是为什么360AlphaLab将它形象地命名为“Bluewave”的原因。从某种程度上说，“Bluewave”漏洞的区域影响是非常大的。这种攻击形式不亚于空军作战中的“电磁脉冲”。一旦被黑客利用，可以长期潜伏，然后利用其坚硬的杀伤力和强大的传染性，大规模地彻底破坏目标系统。（“Bluewave”漏洞同时攻陷了6台苹果笔记本）至于系统被攻破后，攻击者能发起的破坏有多大，根据360的漏洞报告，蓝牙进程在所有操作上都拥有极高的权限系统，所以这也意味着通过“Bluewave”漏洞可以获得苹果MacOS系统的最高ROOT进程权限，达到完全控制电脑的程度。这种近乎完美的攻击方式满足了黑客们迫切的攻击需求。可应用于窃取敏感信息、返还隐私数据、执行任意恶意代码，不排除直接攻击内核的可能。值得一提的是，苹果笔记本曝光的“Bluewave”漏洞影响范围广泛，涵盖macOSMojave10.14.6、macOSHighSierra10.13.6、macOSCatalina10.15.2等所有苹果笔记本。（另外360AlphaLab补充说，除了上述版本，CVE-2019-8853漏洞??还会影响macOSCatalina10.15.3）为防止??“Bluewave”漏洞被武器化360SecurityBrain有协助苹果正式修复对于USB接口紧缺的苹果笔记本，蓝牙键盘鼠标等蓝牙设备一直很受欢迎。因此，开启蓝牙功能是亿万苹果用户的日常状态，甚至还有大量用户有一直保持蓝牙开启的习惯。此次苹果笔记本曝光的“Bluewave”蓝牙组合漏洞具有“破坏性”的威胁能力，尤其是利用成功带来的连锁影响，更是难以估量。基于这一不稳定因素，360安全专家建议用户尽快升级修复，避免漏洞攻击。从发现主流厂商高危漏洞和协助产品修复的角度，360安全大脑在2019年12月确认该漏洞被利用后第一时间向苹果提交了完整的漏洞报告，并正在协助苹果公司促进修复，防止不法分子利用这些漏洞给用户造成巨大损失。作为网络时代，“漏洞”关系到个人、企业乃至国家的安全和利益。它们通常被称为不可避免的网络武器和“新型军火”。面对日益严峻的安全威胁，360安全大脑正凭借强大的实力，长期持续挖掘安全隐患漏洞，追击拦截各类恶意攻击，输出安全防护力量，共同打造安全的网络环境。（苹果官方感谢360安全团队）苹果官方感谢360AlphaLab团队：https://support.apple.com/zh-cn/HT211100https://support.apple.com/en-美国/HT210919
