Уязвимость в SuperDuper! 4.0.9 и ниже раскрывает данные локальному атакующему — CVE-2026-107067

В каталоге CVE зарегистрирована уязвимость CVE-2026-107067, связанная с приложением SuperDuper! от компании Shirt Pocket — популярной утилитой резервного копирования и клонирования дисков для macOS.

Подробности

Согласно описанию в записи CVE, проблема присутствует в SuperDuper! версии 4.0.9 и всех более ранних выпусках. Уязвимость позволяет локальному атакующему получить доступ к конфиденциальной информации (sensitive information). Под «локальным» в данном контексте обычно подразумевается злоумышленник, уже имеющий ту или иную возможность выполнения кода или доступа к системе, на которой установлено приложение, — например, другой пользователь того же устройства или вредоносный процесс с ограниченными правами.

Запись CVE не уточняет конкретный тип уязвимости (например, CWE-категорию), не приводит вектор эксплуатации и не содержит оценки CVSS. Публичный эксплойт, наличие подтверждения эксплуатации в реальных атаках и точные категории данных, которые могут быть раскрыты, в записи также не указаны. Поэтому масштаб риска следует оценивать исходя из фактической роли приложения в инфраструктуре: SuperDuper! часто используется для работы с полными клонами системных дисков и резервными копиями, а значит, потенциально может иметь доступ к чувствительным данным пользователя.

Что делать

Рекомендации для организаций и пользователей, применяющих SuperDuper!:

• Обновиться. Проверьте актуальную версию продукта на сайте вендора Shirt Pocket и установите выпуск новее 4.0.9, если он доступен. Отслеживайте официальные публикации вендора о статусе исправления CVE-2026-107067.
• Ограничить локальный доступ. До выхода патча минимизируйте число учётных записей, имеющих доступ к системе с установленным SuperDuper!, и пересмотрите права на файлы резервных копий и образов дисков.
• Защитить данные резервных копий. Размещайте копии на зашифрованных носителях, ограничивайте права доступа к целевым каталогам и не храните в общедоступных расположениях.
• Контролировать аномалии. Включите журналирование доступа к чувствительным каталогам и отслеживайте подозрительную активность локальных процессов и пользователей.
• Учитывать контекст macOS. Соблюдайте базовые практики гигиены: актуальные обновления ОС, минимум привилегий, запрет запуска непроверенного ПО.

На текущий момент данных о том, что уязвимость эксплуатируется в реальных атаках, в записи CVE нет — как и информации о сроках выпуска исправления. Это не означает отсутствия риска: локальные уязвимости раскрытия информации часто используются на этапах предварительной разведки и повышения привилегий. Рекомендуется взять уязвимость на контроль, оперативно проверить версии SuperDuper! в парке macOS-устройств и применить доступные митигации до появления официального обновления.

Источник: CVE Project (cvelistV5)