微软威胁情报团队今日发布博客披露，发现一个与Spotlight相关的漏洞可能被攻击者用于窃取私人文件数据。微软威胁团队将该漏洞命名为”Sploitlight”，因其利用了Spotlight插件功能。
微软表示，该漏洞属于透明化、许可与控制(TCC)机制的绕过漏洞，可能导致苹果智能系统缓存中的敏感信息泄露。攻击者本可利用该漏洞获取精确位置数据、照片视频元数据、照片库人脸识别数据、搜索历史记录、AI邮件摘要、用户偏好设置等信息。
TCC机制旨在防止应用在未经用户同意的情况下访问个人信息。虽然苹果对允许应用文件出现在搜索结果中的Spotlight插件进行了沙盒隔离并严格限制其访问敏感文件，但微软发现了绕过限制的方法。研究人员通过修改Spotlight调用的应用包，成功泄露了文件内容。
微软已向苹果公司共享了漏洞细节。苹果在3月31日发布的macOS 15.4和iOS 15.4更新中修复了该问题。由于修复及时，该漏洞未被实际利用。
苹果的安全更新文档说明，通过改进数据脱敏机制解决了该问题。同时苹果还修复了另外两个由微软报告的漏洞，分别改进了符号链接验证机制和状态管理机制。
关于该漏洞的完整技术细节可在微软官网查阅。
