Изследователи от Техническия университет в Грац, Австрия са открили уязвимости в реализацията на функциите за уведомяване на операционната система за файлови операции – те засягат най-известните операционни системи Android, Linux, macOS и Windows. Поради тези уязвимости възниква риск от изтичане на поверителна информация.
Проблемът засяга механизмите Linux inotify (от 2005 година), Google Android FileObserver (от 2008 година), Microsoft Windows ReadDirectoryChangesW (от 2000 година) и Apple macOS FSEvents (от 2007 година). Те уведомяват операционната система, че даден файл е бил отворен, променен, записан или изтрит.Тези функции не разкриват съдържанието на файловете, но информацията за събитията, свързани с тях служи като страничен канал, който помага на хипотетичен злонамерен потребител да прави изводи за действията на другите потребители на компютъра. Разполагайки с информация за файловите събития е възможно да се извършват атаки, основани на анализ на времевите интервали между натисканията на клавишите – това позволява да се прихващат въвежданите от потребителя данни, при това не само локално, но и по SSH. Възможно е също така да се провеждат атаки за разкриване на посещаваните уебсайтове и атаки с подмяна на интерфейса с цел кражба на потребителски данни.
Проблемът се състои в това, че непривилегированите потребители имат достъп до подсистемата за известия за файлови операции. Освен това, в Linux и Windows информацията за файловете е достъпна дори при липса на права за четене.Сценариите за атаки предполагат, че злонамереният потребител има достъп до акаунт с файлове, които няколко потребители имат право да четат – списъкът с файлове, достъпни за четене от всички потребители е доста обширен. В Linux проследяването на директория, достъпна за четене, води до изтичане на информация за събития с файловете в нея, включително и тези, за които липсват права за четене: мониторингът на „/dev/input“ позволява да се получават известия за всяко натискане на клавиш, което използвахме за локална атака с анализ на интервалите между натисканията с точност на разпознаване 93,1–100% за седем потребители и за отдалечена атака през SSH с точност 100%, разказаха авторите на изследването.
Специалистите са моделирали атака с подмяна на интерфейса за заявка за удостоверяване в средата KDE Plasma 6, базирана на Linux. Идентифицирането на сайтовете за стотици от най-посещаваните ресурси даде точност от 87,9%. Уязвимостта (CVE-2025-68788) беше частично отстранена през декември 2025 година за версиите на ядрото 5.10.248, 5.15.198, 6.1.160, 6.6.120, 6.12.64 и 6.18.3 – пачът блокира генерирането на събития за достъп и промени за специални файлове в директорията „/dev/“.
В Android механизмът FileObserver работи, заобикаляйки FUSE – средство, предназначено за изолиране на хранилищата на отделните приложения. В резултат на това приложение без специални разрешения може да следи например затворена папка на WhatsApp и въз основа на имената на файловете и времевите отметки да определя с точност моментите на изпращане, получаване или изтриване на снимки, видеоклипове и документи, отбелязаха експертите. В периода от август до октомври 2025 гoдина те са съобщили за своите открития на разработчиците на Linux, Android, Windows и macOS. Разработчиците на Android, по всяка вероятност не са предприели никакви мерки. Най-малко информация е получена работа с macOS на Apple. Учените не са успели да намерят начини за налагане на ограничения върху четенето на затворени директории. Въпреки това, подсистемата FSEvents позволява проследяване на различни промени във файловете, отразени във файлове във формат .plist. Тези промени включват превключване на аудиовхода и аудиоизхода, промяна на настройките за захранване, актуализации на информацията за Bluetooth устройствата и принтерите, промени в DNS при свързване на мрежов кабел, както и събития при свързване и изключване на томове.
В Windows наблюдението на кореновата папка „C:“ позволява да се получи пълният път към всеки файл, към който се осъществява достъп в системата – независимо от това кой потребител извършва действието и без да се вземат предвид правата за достъп. Това се е оказало достатъчно, за да се проследи в реално време кои сайтове посещава друг потребител в браузъра Firefox с точност 97,8%, предупредиха изследователите. От Microsoft обаче отговориха, че това е недокументирана функция, предвидена в архитектурата. Експертите предлагат механизмът за проверка на правата за достъп да се разшири, така че да обхваща и мониторинга на собствените файлове на потребителя.