近日，阿里安全团队与美国印第安纳大学伯明顿分校合作，揭示了一种新的安全威胁:只需一封恶意邮件，就能让 macOS 和 iOS 系统瞬间死机!这一研究成果的基础是畸形的 X.509证书，这种证书被攻击者利用，能够在密码算法库中触发拒绝服务（DoS）漏洞。
X.509证书是互联网世界中验证身份和保护数据安全的关键工具。它们被用作 “身份证”，由可信的机构颁发，用于确保通信双方的身份真实且信息传输安全。然而，阿里安全团队发现，这些证书在处理过程中可能成为攻击者的目标。
研究人员在六个主流的开源密码库中进行了实验，包括 OpenSSL 和 Bouncy Castle 等，发现了18个新漏洞，并识别出12个已知漏洞。通过发送包含畸形 X.509证书的恶意邮件（称为 “香蕉邮件” 攻击），攻击者可以使得用户系统在处理证书时耗尽资源，从而导致系统无响应。
这一问题尤其严重，因为现代操作系统使用这些证书进行应用程序的签名验证。如果攻击成功，系统中的其他应用程序将无法正常运行，给用户造成极大不便。研究团队强调，现有的安全研究往往忽视了可用性问题，而他们的工作首次针对这一领域进行了系统性的分析。
为了应对这一威胁，研究人员开发了一款名为 X.509DoSTool 的自动化工具，可以快速生成畸形证书并检测加密库中的 DoS 漏洞。同时，他们还提出了针对这些漏洞的缓解策略，以增强系统的安全性。
这一研究成果已在 USENIX Security’25会议上发布，并获得 “黑客界奥斯卡” 提名，显示了其重要性与影响力。随着网络安全威胁的不断演化，用户和开发者都应提高警惕，关注这些潜在的安全风险。
