Исследователи из Грацского технического университета установили, что механизмы уведомлений о файловых событиях в Windows, Linux, Android и macOS позволяют следить за активностью пользователей, не имея доступа к содержимому файлов. Об этом сообщает SecurityWeek.
Подобные механизмы есть в каждой популярной операционной системе: приложения подписываются на уведомления об изменениях файловой системы, чтобы обновлять кэш или синхронизировать данные. Для атаки не нужны повышенные привилегии — достаточно запустить код локально на Linux или Windows либо установить обычное приложение на Android. Содержимое файлов при этом остается нетронутым: утекают лишь имена и временные метки событий.
На Linux исследователям удалось распознавать нажатия клавиш с точностью от 93,1 до 100%, анализируя тайминг событий файловой системы. По тому, как Firefox загружает шрифты, можно с точностью 87,9% определить, какой из ста популярных сайтов открыт у пользователя. Атака использует встроенный механизм файловых уведомлений Linux; уязвимость получила номер CVE-2025-68788.
В Windows непривилегированный пользователь, отслеживающий корень системного диска, получает полные пути к файлам из каталогов всех остальных пользователей системы. Наблюдение за папкой профиля Firefox позволило определить посещенный сайт с точностью 97,8% среди тысячи популярных ресурсов. Для Microsoft Edge точность оказалась заметно ниже — 48,5%.
На Android приложение без каких-либо разрешений способно следить за приватным хранилищем других программ. В тестах с WhatsApp исследователи фиксировали, когда именно пользователь получал или отправлял фотографии, видео и документы, и при этом узнавали имена файлов. На macOS возможности атаки уже: отслеживать можно лишь глобально доступные для чтения файлы, что, впрочем, позволяет фиксировать запуски приложений и изменения настроек.
Microsoft заявила, что подобное поведение «не является уязвимостью безопасности», поскольку требует предварительного локального доступа к системе, и порекомендовала предоставлять его только проверенным пользователям. Apple и Google на запросы комментариев не ответили. Рабочие примеры эксплойтов исследователи опубликовали на GitHub.
Ранее мы рассказывали об уязвимости LoongLeak в процессорах Loongson, которая позволяет непривилегированному злоумышленнику извлекать данные из кэша первого уровня — в том числе информацию других процессов и ядра операционной системы.
Источник новости: hi-tech.mail.ru
