云端硬盘业者Dropbox上周指出，该公司的安全团队携手第三方安全业者Syndis进行"红队演练"（Red team）时，意外发现了苹果macOS的3个安全漏洞，串连这3个漏洞将能针对苹果系统执行远端程序攻击。

所谓的红队演练通常是邀请第三方的安全高手针对企业服务展开模拟攻击，以测试企业系统的牢固与否，而Dropbox及Syndis该次合作的目的包含测量Dropbox侦测及警报系统的稳定状态、团队的回应能力，以及若黑客成功入侵了，能否追踪黑客的活动。

不过，Syndis在进行模拟攻击时却意外地在Dropbox员工所使用的苹果电脑上发现了3个macOS上的零时差漏洞，成功串连这3个漏洞的黑客即可发动远端程序攻击。

这3个漏洞分别是CVE-2017-13890、CVE-2018-4176与CVE-2018-4175。其中，CVE-2017-13890藏匿在CoreTypes中，CoreTypes陈列了各种已确定是安全的，可自动被Safari开启的统一类型标识符（Uniform Type Identifiers，UTI），但在造访一个恶意网页时，却可能被挂载一个磁盘镜像档；而CVE-2018-4176漏洞即是存在于磁盘镜像档（Disk Images）中，当挂载一个恶意的磁盘镜像档时，将可执行应用程式。

至于存在于LaunchServices的CVE-2018-4175的漏洞则允许恶意程式绕过强制性的代码签署程序，这3个环环相扣的漏洞将允许黑客诱导macOS用户造访恶意网页，再自远端执行任意程序。

Dropbox表示，Syndis在红队演练中以这3个真实存在的漏洞测试了该公司的安全团队遭到零时差攻击时的准备程度，同时造福了Dropbox、苹果及macOS用户。

Syndis于今年2月知会了苹果，苹果则很快地在3月便修补了相关漏洞。