(資料圖)
據(jù)BleepingComputer消息，蘋果最近解決了一個由微軟發(fā)現(xiàn)的macOS系統(tǒng)漏洞，該漏洞允許擁有 root 權(quán)限的攻擊者繞過系統(tǒng)完整性保護 (SIP)以安裝不可刪除的惡意軟件，并通過規(guī)避透明度同意和控制 (TCC) 安全檢查來訪問受害者的私人數(shù)據(jù)。
該漏洞被稱為Migraine ，由一組微軟安全研究人員發(fā)現(xiàn)并報告給蘋果，現(xiàn)在被追蹤為CVE-2023-32369。蘋果已在兩周前的 5 月 18 日發(fā)布的macOS Ventura 13.4、macOS Monterey 12.6.6和macOS Big Sur 11.7.7安全更新中修補了該漏洞。
系統(tǒng)完整性保護 (SIP)是一種 macOS 安全機制，可通過對根用戶帳戶及其在操作系統(tǒng)受保護區(qū)域內(nèi)的功能施加限制來防止?jié)撛诘膼阂廛浖哪承┪募A和文件，其運作原則是只有由 Apple 簽名或擁有特殊權(quán)限的進(jìn)程（例如 Apple 軟件更新和安裝程序）才被授權(quán)更改受 macOS 保護的組件。
此外，如果不重新啟動系統(tǒng)并啟動 macOS Recovery（內(nèi)置恢復(fù)系統(tǒng)），就無法禁用 SIP，這需要對已經(jīng)受損的設(shè)備進(jìn)行物理訪問。
然而，微軟的研究人員發(fā)現(xiàn)，擁有 root 權(quán)限的攻擊者可以通過濫用 macOS 遷移助手實用程序來繞過 SIP 安全實施。研究證明，擁有 root 權(quán)限的攻擊者可以使用 AppleScript 自動執(zhí)行遷移過程，并在將其添加到 SIP 的排除列表后啟動惡意負(fù)載，而無需重新啟動系統(tǒng)和從 macOS Recovery 啟動。
任意繞過 SIP 會帶來重大風(fēng)險，尤其是在被惡意軟件利用時，包括創(chuàng)建無法通過標(biāo)準(zhǔn)刪除方法刪除的受 SIP 保護的惡意軟件。此外攻擊面也得到擴大，并可能允許攻擊者通過任意內(nèi)核代碼執(zhí)行來篡改系統(tǒng)完整性，并可能安裝 rootkit 以隱藏安全軟件中的惡意進(jìn)程和文件。
繞過 SIP 保護還可以完全繞過TCC 策略，使威脅行為者能夠替換 TCC 數(shù)據(jù)庫并獲得對受害者私人數(shù)據(jù)的無限制訪問權(quán)限。
已非第一次發(fā)現(xiàn)macOS 漏洞這不是微軟研究人員近年來報告的第一個此類 macOS 漏洞。2021 年，微軟報告了一個名為Shrootless 的 SIP 繞過漏洞，允許攻擊者在受感染的 Mac 上執(zhí)行任意操作，將權(quán)限提升為 root，并可能在易受攻擊的設(shè)備上安裝 rootkit。
最近，微軟首席安全研究員 Jonathan Bar Or 還發(fā)現(xiàn)了一個名為 Achilles 的安全漏洞，攻擊者可以利用該漏洞繞過 Gatekeeper對不受信任應(yīng)用的限制，以此來部署惡意軟件。他還發(fā)現(xiàn)了另一個名為powerdir的漏洞，可以讓攻擊者繞過TCC來訪問用戶的受保護數(shù)據(jù)。
標(biāo)簽：
