Usterka w Search Console w systemie OS X może ujawnić prywatne szczegóły użytkowników Apple Mail

Usterka w oprogramowaniu do wyszukiwania w systemie Apple OS Yosemite może ujawnić prywatne szczegóły użytkowników Apple Mail, ujawniając ich adres IP, a także inne szczegóły systemu spamerom, phisherom i firmy śledzące online.

Potencjalne zagrożenie prywatności pojawia się, gdy użytkownicy korzystają z funkcji Spotlight Search, która indeksuje także wiadomości e-mail otrzymane z klientem poczty e-mail Apple Mail. Podczas przeszukiwania komputera Mac, Spotlight wyświetla podgląd wiadomości e-mail, a kiedy to robi, automatycznie ładuje zewnętrzne obrazy połączone w wiadomościach e-mail w formacie HTML.

Podgląd Spotlight ładuje te pliki, nawet jeśli użytkownicy wyłączyli opcję "wczytaj zdalną zawartość w wiadomościach" w aplikacji Poczta funkcja często wyłączona, aby uniemożliwić nadawcom wiadomości e-mail poznanie, czy wiadomość e-mail dotarła i czy została otwarta. Co więcej, Spotlight ładuje również te pliki, gdy wyświetla podgląd nieotwartych wiadomości e-mail, które trafiły bezpośrednio do folderu ze śmieciami.

[Dalsze informacje: Jak usunąć złośliwe oprogramowanie z komputera z systemem Windows]

Otwieranie plików zewnętrznych może ujawnić prywatne dane nadawcy poczty e-mail. Nadawcy często umieszczają w swoich wiadomościach e-mail tak zwane piksele śledzące, zazwyczaj łącze do jednopikselowego pliku GIF, które wysyła informacje do nadawcy po otwarciu wiadomości e-mail i załadowaniu obrazu zewnętrznego. Piksele te są często wykorzystywane przez sprzedawców poczty e-mail do zbierania danych.

Potencjalny problem dotyczący prywatności został po raz pierwszy zgłoszony przez niemiecką stronę informacyjną Heise i został zreplikowany przez usługę IDG News Service, wysyłając kilka e-maili z pikselami śledzącymi na adres e-mail powiązany do Apple Mail. Podgląd nieotwartych wiadomości e-mail został pokazany przez Spotlight, który ujawnił operatorowi serwera hostującego piksele adresu IP odbiorcy, aktualną wersję systemu operacyjnego i kilka szczegółów na temat używanej przeglądarki, a także wersję Quick Look, programu, który użytkownicy podglądu dokumentu.

Adres IP może ujawnić czyjąś lokalizację, chociaż nie zawsze jest to bardzo dokładne. Tymczasem znajomość więcej szczegółów na temat systemu użytkownika może potencjalnie być interesująca dla hakerów.

W tej chwili jedynym sposobem na obejście problemu wydaje się usunięcie zaznaczenia pola "Poczta i wiadomości" dla Spotlight w Preferencjach systemowych. Po wyłączeniu tej opcji wiadomości e-mail nie są zwracane w wynikach wyszukiwania Spotlight, a zatem nie jest wyświetlany podgląd.

Zapytaliśmy Apple, dlaczego ustawienie "ładuj zdalną zawartość w wiadomościach" nie ma zastosowania do wiadomości wyświetlanych w wyszukiwaniach Spotlight, ponieważ użytkownicy mogą oczekiwać, że tak się stanie i zapytali, czy planuje rozwiązać ten problem. Apple nie odpowiedział natychmiast.

(Z dodatkowym raportem Luciana Constantina z IDG News Service.)