Неисправленная уязвимость в macOS позволяет запускать вредоносный код

Опубликованы подробности об уязвимости, позволяющей обойти встроенный механизм безопасности Gatekeeper.

Исследователь безопасности из итальянской компании Segment Филиппо Кавалларин (Filippo Cavallarin) опубликовал подробности о неисправленной уязвимости в macOS 10.14.5 Mojave и более ранних версиях, позволяющей выполнить произвольный код без участия пользователя. С помощью уязвимости злоумышленник может обойти встроенный в macOS механизм безопасности Gatekeeper. Этот механизм защищает операционную систему от запуска недоверенных приложений путем проверки наличия выданного Apple цифрового сертификата.

Как пояснил Кавалларин, Gatekeeper, рассматривающий внешние диски и сети как безопасные места, вместе с другими легитимными функциями macOS позволяет злоумышленникам запускать ненадежные приложения без предупреждения пользователя.

С помощью функции автоматического монтирования в macOS и поддержки символических ссылок можно запускать произвольный код, и Gatekeeper не будет реагировать. В macOS пользователь может автоматически подключать сетевые ресурсы с помощью команды «autofs». Символьные ссылки представляют собой файлы, создающие ссылку на файлы или папки, хранящиеся в другом месте, включая общий сетевой ресурс. Содержащиеся в архивах ссылки не проверяются, чем может воспользоваться злоумышленник и заставить пользователя кликнуть на них для получения доступа к удаленному контенту.

Представленный Кавалларином метод атаки очень прост. Работая над ее концепцией, исследователь добавил в файлы «Калькулятора» bash-скрипт для запуска различных исполняемых фалов, в данном случае iTunes. Кроме того, Кавалларин модифицировал иконку «Калькулятора».

Исследователь уведомил Apple об уязвимости 22 февраля нынешнего года. Компания должна была выпустить исправление в текущем месяце, но, по словам Кавалларина, уязвимость по-прежнему воспроизводится.