微软披露macOS平台上的Shrootless漏洞 相关补丁已可用

许多安全公司与大型科技企业都有自建团队,旨在发现软件中的缺陷和漏洞、与软件供应商私下沟通,然后按照行业标准流程来发布修复程序。与此同时,以 Google Project Zero 为代表的团队,也致力于帮助发现和修补第三方的安全问题。而本文要为大家介绍的,则是微软在苹果 macOS 上发现的“Shrootless”漏洞。

微软披露macOS平台上的Shrootless漏洞 相关补丁已可用

(来自:Microsoft 365 Defender Research Team)

微软指出,Shrootless 漏洞可被恶意攻击者利用,以绕过操作系统的系统完整性保护(SIP),进而执行任意代码。

与此同时,微软安全团队发现了一种用于提权的新型攻击技术。简单翻阅该公司的博客文章后,可知问题主要归咎于“由苹果签名、并具有安装后脚本的软件包”的安装方式。

微软披露macOS平台上的Shrootless漏洞 相关补丁已可用

通过创建可劫持安装过程的自定义软件包,攻击者便可利用该机制来达成恶意目的。

比如在绕过 SIP 防护措施后,攻击者能够安装 rootkit 和无法检测的恶意软件、甚至覆盖系统文件而不被 SIP 给阻止。

微软披露macOS平台上的Shrootless漏洞 相关补丁已可用

在某些情况下,软件包需要访问受 SIP 保护的目录,比如系统更新。

可知苹果为此类软件包分配了一些特权(

com.apple.rootless.install 和 com.apple.rootless.install.inheritable),但它们同样也可被利用来绕过 SIP 。

微软披露macOS平台上的Shrootless漏洞 相关补丁已可用

在评估有权绕过 SIP 保护的 macOS 进程时,微软安全团队发现了守护进程 system_installd 具有强大的

com.apple.rootless.install.inheritable 权限。

在此基础上,攻击者便可利用 system_installd 的任何子进程,来完全绕过 SIP 文件系统限制。

借助 Microsoft Defender for Endpoint 的后入侵组件(post-breach component),安全团队决定检查 system_installd 的所有子进程。

结果让他们感到十分震惊,因为其中一些可能允许攻击者滥用、并绕过 SIP 。比如在安装苹果签名的 .pkg 包时,它就会调用 system_installed 并负责安装前者。

微软披露macOS平台上的Shrootless漏洞 相关补丁已可用

但若软件包中含有任何安装后脚本,则 system_installd 会通过调用默认 shell(在 macOS 上为 zsh)来运行它们。

有趣的是,当 zsh 启动时,它会查找文件 /etc/zshenv 。如果找到,哈辉自动从该文件运行命令 —— 即使在非交互模式下也是如此。

所以对于潜在的攻击者来说,他们在设备上执行任意操作的最可靠路径,就就是创建恶意的 /etc/zshenv 文件,然后等待 system_installd 来调用 zsh 。

更糟糕的是,微软还发现 zshenv 可作为通用攻击模式,而不仅仅是 Shrootless —— 滥用此 shell 或导致特权提升。

微软披露macOS平台上的Shrootless漏洞 相关补丁已可用

庆幸的是,作为协调漏洞披露(CVD)流程的一部分,微软与苹果私下分享了其调查结果。后者承认了这个问题,并于 2021 年 10 月 26 日向公众发布了漏洞修复补丁。

在 macOS Monterey、Catalina 和 Big Sur 的安全补丁说明中,苹果还强调了微软对此做出的贡献。有关详情,还请查看 CVE-2021-30892安全公告。

未经允许不得转载:VPS服务器 » 微软披露macOS平台上的Shrootless漏洞 相关补丁已可用

分享到: 生成海报