Máy cục bộ nhận phiên đang hoạt động của người dùng khác.
(Nguồn: Check Point Research)

Lỗ hổng này ảnh hưởng đến các thiết bị sử dụng hệ điều hành macOS, cho phép các tài khoản khách (Guest User) đăng nhập với tư cách là khách, nhưng vẫn có thể nhận phiên đang hoạt động của người dùng khác (như quản trị viên), mà không cần nhập mật khẩu. 

Chrome Remote Desktop là tiện ích mở rộng của trình duyệt Chrome, cho phép người dùng truy cập từ xa vào một máy tính khác thông qua trình duyệt Chrome hoặc thiết bị Chromebook. Đây là ứng dụng hoàn toàn đa nền tảng và hỗ trợ các phiên bản macOS từ OS X 10.6 (2009) trở lên, áp dụng cho tất cả các thiết bị có cài đặt trình duyệt Chrome.

Các nhà nghiên cứu Ofer Caspi và Benjamin Berger của Check Point đã thông báo lỗi này cho Google vào ngày 15/02/2018. Theo phản hồi từ Google, màn hình đăng nhập không phải là giới hạn an ninh. Tuy nhiên, các nhà nghiên cứu không đồng ý với phản hồi này và khuyên người dùng nên cảnh giác. 

Theo kết quả nghiên cứu, trên hệ điều hành macOS, hoàn toàn có thể cho phép người khác sử dụng máy tính với tư cách tài khoản khách mà không cần thêm tài khoản người dùng riêng biệt. Để khai thác lỗ hổng này, khi tài khoản khách kết nối với một thiết bị để điều khiển từ xa, thiết bị này cần có ít nhất một người dùng đang hoạt động trong phiên (chẳng hạn như một người dùng đăng nhập và khóa màn hình sau một khoảng thời gian nào đó).