اپل روز پنج شنبه با انتشار یک وصله ی اضطراری، یک اشکال باورنکردنی در سیستم عامل جدید های سیرا را وصله کرد که مقادیر پسورد APFS را از طریق راهنمای پسورد نشان می داد. متیاس ماریانو محقق برزیلی از لیت تیک، این مشکل را کشف کرده و به طور محرمانه به اپل گزارش داد. او گفت پس از ایجاد کانتینر رمزنگاری شده در APFS که سیستم فایل جدید اپل در هایی سیرا است، پسورد واقعی در قالب متن ساده در راهنمای پسورد ذخیره می شود.
ماریانو در یک پست توضیح داد که چگونه اشکال (CVE-2017-7149) که در زمان ایجاد مقدار رمزنگاری‌شده‌ی جدید در کانتینر APFS رخ می‌دهد، را پیدا کرد. او یک پسورد جدید ایجاد کرده و یک راهنما برای آن مشخص کرد. او کانتینر جدید را نصب کرد و پس از کلیک روی پسورد راهنما، پسوردی که جدیدا ایجاد کرده بود نمایش داده شد. اپل در مشاوره‌نامه‌ی خود گفت: «اگر در زمان ایجاد یک مقدار APFS رمزنگاری‌شده راهنما در Disk Utility قرار بگیرد، پسورد به عنوان راهنما ذخیره می‌شود. اگر راهنما، پسورد باشد، این مشکل با پاک کردن مخزن راهنما و با بهبود منطق ذخیره‌سازی راهنماها برطرف می‌شود.»
اشکال کشف شده توسط ماریانو، یکی از دو آسیب‌پذیری بود که اپل آنها را وصله کرده است. آسیب‌پذیری دیگر مدت کمی قبل از انتشار های‌سیرا، هفته‌ی گذشته افشاء شد که به مهاجمان اجازه می‌داد تا پسوردها را در قالب متن ساده از برنامه‌ی keychain به سرقت ببرند. محقق پاتریک وردل، پژوهشگر ارشد امنیت در Synack، در اوایل ماه سپتامبر این آسیب‌پذیری را به طور خصوصی به اطلاع اپل رساند و گفت که این اشکال همچنین در سیرا و احتمالا در El Capitan وجود دارد. وردل هفته‌ی گذشته توضیح داد که با توجه به این‌که مهاجمان قبلا توانسته‌اند به این دستگاه نفوذ کنند، بهره‌برداری از این مسئله نیز برای آنها کار سختی نیست.
برنامه‌ی Keychain سیستم عامل مک، یک مولفه‌ی امنیتی حیاتی برای احراز هویت است. یک کانتینر رمزنگاری شده است که نام‌های کاربری و پسوردهای سیستم و همچنین گواهی‌نامه‌های برنامه‌ها و سرویس‌های مبتنی‌بر وب را نگه می‌دارد. همچنین می‌تواند داده‌های کارت پرداخت، پین‌های بانکی و دیگر گواهی‌نامه‌ها را ذخیره کند. ضمیه‌ی Keychain، Keychain Access است که یک برنامه‌ی مدیریت پسورد که گواهی‌نامه‌ها را در Keychain ذخیره می‌کند و باعث می‌شود که کاربر مجبور نباشد بارها وبارها یک پسورد را در وب وارد کند.
واردل و دیگر محققان نسبت به واکنش اپل درباره‌ی افشاء اولیه‌ی این آسیب‌پذیری انتقاد داشتند که به کاربران گفته بود برنامه‌ی Gatekeeper می‌تواند به اندازه‌ی کافی اثر حمله‌ی Keychain را کاهش دهد. در حالی‌که این ممکن است درمورد بدافزارهای بدون امضاء درست باشد چون Gatekeeper از اجرای کدهای ناشناس روی سیستم عامل مک جلوگیری می‌کند، اما بسیاری از حملات را که گواهی‌نامه‌های قانونی توسعه‌دهندگان اپل را برای امضاء بدافزار دارند را نادیده می‌گیرد.
