В клиентском приложении «Яндекс Диск» для macOS обнаружена серьёзная уязвимость, которая могла привести к захвату аккаунта и доступу к пользовательским данным. Об этом сообщили специалисты Positive Technologies, уточнив, что уязвимость удалось устранить совместно с вендором в рамках политики ответственного раскрытия.
Обнаружение произошло при участии исследователя Егора Филатова из команды PT SWARM. Уязвимость получила внутренний идентификатор PT-2025-44737, а также международные коды CVE-2025-5470 и BDU:2025-08831. Согласно оценке по шкале CVSS 4.0, уровень угрозы составляет 7,3 балла из 10, что относится к высокой категории риска.
Ошибка содержалась в версии 3.2.44 клиента «Яндекс Диск» для macOS. Как поясняют в Positive Technologies, потенциальная атака требовала локального доступа к устройству жертвы.
При наличии прав пользователя злоумышленник мог внедрить вредоносную библиотеку, которую приложение загружало при запуске. В результате появлялась возможность выполнения произвольного кода в контексте приложения.
Этот сценарий создавал условия для доступа к файлам, связанным с облачным хранилищем, а также для закрепления вредоносного кода в системе. В случае успешной эксплуатации уязвимости атакующий мог просматривать, скачивать или удалять содержимое облака. Кроме того, полученная информация могла быть использована для подготовки фишинговых атак — особенно при наличии доступа к документам или переписке.
По данным threat intelligence-аналитики, потенциальному риску подвергались свыше 50 тыс. устройств по всему миру. Основная концентрация затронутых пользователей наблюдалась в России — 91%. За ней следуют Германия (3%), а также Беларусь и Казахстан (по 2%).
Компания «Яндекс» выпустила исправление — актуальной является версия 3.2.45.3275. Пользователям, использующим macOS, настоятельно рекомендуется как можно скорее обновить клиент до этой версии.
