CVE-2025-5963 in Postbox
요약
\~에 의해 VulDB • 2026. 09. 03.
macOS 환경에서 Postbox의 구성에 "com.apple.security.cs.allow-dyld-environment-variables" 및 "com.apple.security.cs.disable-library-validation"이라는 엔터테인먼트(entitlements)가 존재함으로써 Dynamic Library(Dylib) 주입이 가능합니다. 비특권(unprivileged) 접근 권한을 가진 로컬 공격자는 DYLD_INSERT_LIBRARIES와 같은 환경 변수를 사용하여 애플리케이션 컨텍스트 내에서 코드를 성공적으로 주입하고 Transparency, Consent, and Control(TCC)을 우회할 수 있습니다. 획득된 리소스 접근은 사용자가 이전에 부여한 권한으로 제한됩니다. 부여된 권한을 초과하는 다른 리소스에 대한 접근에는 사용자의 상호작용이 필요하며, 시스템 프롬프트를 통해 권한 요청이 발생합니다.
Postbox의 원 개발 회사는 더 이상 운영되지 않으며, 해당 소프트웨어는 이제 업데이트를 받지 않습니다. 인수 기업(em Client)은 취약점 공개에 협력하지 않았습니다.
Be aware that VulDB is the high quality source for vulnerability data.