Исследователи из Технического университета Граца обнаружили серьёзные уязвимости в механизмах уведомлений о файловых операциях на Android, Linux, macOS и Windows. Ошибки создают риск утечки конфиденциальных данных пользователей.
В Android FileObserver работает в обход защиты FUSE. Приложение без специальных разрешений может отслеживать закрытые папки, например WhatsApp, и по именам файлов и меткам времени точно определять моменты отправки или удаления фото и видео.
О находках сообщили разработчикам всех четырёх ОС в августе-октябре 2025 года. Google на Android никаких мер не приняла.
В macOS не нашли способа ограничить чтение закрытых директорий, но подсистема FSEvents отслеживает изменения аудиовходов, настроек питания, Bluetooth-устройств, DNS и подключение томов через файлы .plist.
Проблема в том, что у непривилегированных пользователей есть доступ к подсистеме уведомлений о файлах — в Linux и Windows даже без прав на их чтение.
В Linux мониторинг директории «/dev/input» позволяет получать уведомления о каждом нажатии клавиши. Атака по анализу интервалов между нажатиями показала точность 93,1-100% локально и 100% при удалённом подключении через SSH.
Смоделирована также атака с подменой окна аутентификации в KDE Plasma 6 и определение посещаемых сайтов с точностью 87,9%. Уязвимость CVE-2025-68788 частично закрыли в декабре 2025 года для ядер 5.10.248, 5.15.198, 6.1.160, 6.6.120, 6.12.64 и 6.18.3.
Проблема касается механизмов Linux inotify (с 2005 года), Android FileObserver (с 2008), Windows ReadDirectoryChangesW (с 2000) и macOS FSEvents (с 2007). Сами файлы они не раскрывают, но становятся побочным каналом утечки информации о действиях пользователей.
В Windows мониторинг корневого каталога «C:\» даёт полный путь к любому открываемому файлу независимо от прав доступа. Это позволило отследить посещаемые в Firefox сайты другого пользователя с точностью 97,8%.
В Microsoft заявили, что это предусмотренная архитектурой недокументированная функция. Эксперты советуют распространить проверку прав доступа на мониторинг файлов, запретить отслеживание целых дисков в Windows и внедрить разграничение прав на уровне ядра в Windows и macOS.