Ostatnie miesiące nie były najlepsze dla firmy Apple i nie zapowiada się na poprawę. Po problemach z Javą, trojanem Flashback i osobistej opinii założyciela Kaspersky Lab, Apple rozpoczął maj kolejnym potknięciem.
Aktualizacja systemu OS X Lion do wersji 10.7.3 ma domyślnie włączoną opcję odpowiedzialną za zapisywanie haseł w postaci nieszyfrowanej, czyli jako ciąg znaków (plaintext, cleartext), w logach systemu. Na szczęście nie wszyscy użytkownicy tej wersji systemu są narażeni na wyciek haseł — błąd dotyczy jedynie systemów, które korzystały ze starszego zabezpieczenia FileVault przed instalacją OS X 10.7. Systemy, na których FileVault nie był używany lub był używany tylko FileVault 2, wprowadzony wraz z OS X 10.7. W grupie najwyższego ryzyka są jednak między innymi laptopy firmowe, na których używany był FileVault przed instalacją wydanej latem zeszłego roku wersji OS X.
Luka jest o tyle niebezpieczna, że nie trzeba logować się na Maka, aby odczytać hasła. Maszyna, która spełnia powyższe warunki, uruchomiona w trybie przenośnego dysku FireWire pozwoli na odczytanie plików, w których zapisane zostały hasła. Dostęp do plików można uzyskać również z poziomu partycji ratunkowej — wystarczy zamontować partycję systemową. Logi z zapisanymi hasłami przechowywane są domyślnie przez kilka tygodni.
Według wstępnych analiz eksponowanie haseł jako tekst jest wynikiem błędu deweloperów, którzy najprawdopodobniej włączyli tę opcję do testów i nie wyłączyli jej przed publikacją aktualizacji. Co więcej, przy okazji publikacji informacji na temat tej luki po raz kolejny uzyskaliśmy przykład kiepskiego wsparcia ze strony Apple'a — zgłoszenie tego błędu miało miejsce pierwszy raz już w lutym na forum wsparcia technicznego Apple'a. Wtedy nikt z Apple'a się tym błędem nie zainteresował, zobaczymy jak będzie tym razem.
