Одна уязвимость нарушила все уровни безопасности MacOS

Согласно отчету ИБ-компании Computest , уязвимость в MacOS позволяет выполнить атаку с внедрением процесса в macOS и прочитать каждый файл на Mac, а также повысить привилегии до root-пользователя.

С помощью этой уязвимости исследователь Computest Тийс Алкемаде смог выйти из песочницы macOS , а затем обойти защиту целостности системы (System Integrity Protection, SIP), основную защиту для предотвращения доступа неавторизованного кода к конфиденциальным файлам на Mac.

Алкемаде, который выступил с докладом на конференции Black Hat в Лас-Вегасе , впервые обнаружил уязвимость в декабре 2020 года и сообщил о проблеме Apple через программу Bug Bounty. С тех пор Apple выпустила 2 обновления для исправления этой уязвимости, первое в апреле 2021 года , а затем в октябре 2021 года .

Ошибка CVE-2021-30873 может позволить вредоносным приложениям собрать конфиденциальную информацию о пользователе и повысить привилегии злоумышленника до root-пользователя для перемещения по системе.

Уязвимость находится в «сериализованном» объекте в системе сохраненных состояний, которая сохраняет приложения и окна, открытые вами при выключении Mac. Эта система также может работать во время использования Mac в процессе App Nap .

Когда приложение запускается, оно считывает некоторые файлы и пытается загрузить их, используя небезопасную версию «сериализованного» объекта. Злоумышленник может создать эти файлы в том месте, откуда их будет загружать другое приложение. По сути, создается вредоносный «сериализованный» объект, который может заставить систему вести себя так, как хочет киберпреступник.

Отсюда эксперт смог выйти из песочницы приложения Mac. Внедрив код в другое приложение, можно расширить возможности атаки. Кроме того, специалисту удалось обойти SIP-защиту и прочитать практически все файлы на диске, а также изменить определенные системные файлы.

На данный момент нет случаев использования уязвимости. Уязвимость показывает, как злоумышленник может пройти через всю ОС, получая доступ к большему количеству данных. По словам Алкемаде, поскольку локальная безопасность в macOS все больше приближается к модели iOS, это подчеркивает необходимость пересмотра нескольких частей системы.