Trên phiên bản OS X Lion 10.7, mật khẩu của người dùng được mã hóa và lưu trữ trong những tập tin gọi là "shadow file", và được cất giấu tại những địa điểm an toàn trên ổ cứng. Khi có quyền truy cập hệ thống, người dùng sẽ có khả năng chỉnh sửa những tập tin này để thay đổi mật khẩu khi cần. Tuy nhiên, một phát hiện mới của trang blog Defense in Depth cho thấy phiên bản Sư Tử gặp một lỗ hổng an ninh, qua đó cho phép hacker có thể thay đổi mật khẩu của một máy tính bất kỳ mà không cần phải có quyền admin.
Vào cuối năm 2009, Defense in Depth đã từng một lần phát hiện ra lỗ hổng bảo mật trên hệ điều hành OS X, cũng liên quan đến việc thay đổi mật khẩu. Để thực hiện được việc đó, hacker cần phải có quyền admin và vì thế quá trình trích xuất mật khẩu sẽ khó khăn hơn. Tuy nhiên, với lỗ hổng mới này, mật khẩu của máy tính có thể bị lộ, và thậm chí là thay đổi mà không cần quyền admin.
Trên Lion, quyền truy cập vào các shadow file vẫn là hạn chế để tránh nguy cơ thay đổi nội dung. Tuy nhiên, khả năng truy cập trực tiếp vào những tập tin này là có thể, bởi hệ thống lưu giữ những tập mật khẩu (password hash) trong một mục có tên directory services, và bất kỳ người dùng nào cũng có thể tiếp cận. Do đó, những tập mật khẩu có thể bị trích xuất mà không cần dùng quyền admin, sau đó đưa vào một số công cụ hack và mã hóa để có được mật khẩu chính xác.
Bên cạnh việc có thể trích xuất những tập mật khẩu, một người dùng bất kỳ có thể trực tiếp thay đổi mật khẩu của một người khác, bao gồm cả mật khẩu hệ thống, chỉ bằng một dòng lệnh trong Terminal: dscl localhost -passwd /Search/Users/USERNAME (chỉ cần thay USERNAME bằng tên của tài khoản mục tiêu). Khi chạy, lệnh này sẽ phản hồi như thể vừa có một lỗi xảy ra, nhưng nếu bạn nhập tiếp mật khẩu mới lên tất cả các mục hiển thị trong đó, thì mật khẩu của tài khoản sẽ bị thay đổi. Nên nhớ, một khi mật khẩu của admin bị thay đổi, hacker có thể truy cập bằng tài khoản admin và có 100% quyền tiếp cận vào hệ thống.
Điều kiện cần thiết để khai thác lỗ hổng này là hacker phải có quyền truy cập vào một tài khoản trên máy tính (local access) và phải tiếp cận được vào mục directory service. Do đó, trước khi Apple phát hành bản vá lỗi, người dùng có thể áp dụng một số biện pháp sau để tăng cường khả năng bảo mật của máy tính, như: tắt chế độ tự động đăng nhập, thiết lập mật khẩu cho chế độ ngủ và screensaver, tắt các tài khoản Khách (guest account) và cuối cùng là quản lý tốt hơn các tài khoản trên máy tính (chỉ nên dùng 1 tài khoản admin).
