פגמי אבטחה בני עשורים במערכות התראות קבצים ב-Android, Linux, macOS ו-Windows

חוקרים מהאוניברסיטה הטכנית של גראץ באוסטריה מצאו פגמים בתת-המערכות להתראות על שינויי קבצים ב-Android, Linux, macOS ו-Windows, שדרכם דולף מידע על הפעילות של משתמשים אחרים במחשב.

מה מצאו החוקרים

תת-המערכות האלה מודיעות לתוכנות מתי קובץ נפתח, שונה או נמחק. הן אינן חושפות את תוכן הקבצים, אך זרם האירועים משמש כערוץ צדדי: תוקף בלי הרשאות מיוחדות יכול להסיק ממנו מה עושים משתמשים אחרים. מדובר ב-ReadDirectoryChangesW ב-Windows (2000), ב-inotify ב-Linux (2005), ב-FSEvents ב-macOS (2007) וב-FileObserver ב-Android (2008).

"מצאנו באגים בני עשורים — כולם בתת-המערכות להתראות קבצים שכל מערכת הפעלה מודרנית מספקת", סיפר ל-The Register סודהינדרה רגהב נילה, דוקטורנט באוניברסיטה הטכנית של גראץ.

תרחישי תקיפה

בעזרת נתוני אירועי קבצים תוקף יכול לבצע תקיפות תזמון בין הקשות שמשחזרות את מה שהמשתמש מקליד, לזהות אילו אתרים נכנס אליהם הקורבן, ולגנוב פרטי התחברות באמצעות הטעיית ממשק. ב-Linux, מעקב אחר הספרייה הקריאה /dev/input מפיק התראה על כל הקשה; החוקרים הפכו זאת לתקיפה עם דיוק של 93.1–100 אחוזים בשבעה משתמשים ו-100 אחוזים בהפעלה מרחוק ב-SSH. זיהוי אתרים מתוך 100 המובילים הגיע ל-87.9 אחוזים, ותקיפת הטעיה של חלון האימות עבדה ב-KDE Plasma 6 תחת Wayland.

ב-Android עוקף FileObserver את שכבת FUSE שנועדה לבודד את האחסון של כל אפליקציה, כך שאפליקציה בלי הרשאות יכולה לעקוב, למשל, אחר התיקייה הפרטית של WhatsApp וללמוד משמות הקבצים מתי נשלחים או נמחקים תמונות ומסמכים. ב-Windows, מעקב אחר ספריית השורש C:\ מציג את הנתיב המלא של כל קובץ שנגעו בו בכל המערכת, ללא תלות בהרשאות — די בכך כדי לעקוב בזמן אמת, בדיוק של 97.8 אחוזים, אחר האתרים שמשתמש אחר מבקר בהם ב-Firefox. macOS חשפה הכי פחות: לא נמצאה עקיפה לקריאת ספריות פרטיות.

תיקונים ותגובות

הפגם ב-Linux, CVE-2025-68788, תוקן חלקית בדצמבר 2025 בשש ענפי קרנל, ובהם 5.10.248, 6.6.120 ו-6.18.3: התיקון מפסיק ליצור אירועי "access" ו-"modify" עבור קבצים מיוחדים ב-/dev/. ל-Android לא פורסם תיקון. מיקרוסופט כינתה את ההתנהגות ב-Windows "מלכתחילה", תגובה שהועמדה לפרס התגובה הגרועה ביותר של ספק ב-Pwnie Awards 2026.

המחברים קוראים להרחיב את בדיקות ההרשאות ולהנהיג מערכת הרשאות בקרנלים של Windows ו-macOS. המאמר יוצג ב-ACM CCS 2026 בהאג בנובמבר.