Shrootless：MacOS漏洞能绕过系统完整性保护
发布时间：2021-11-23 15:41:10 所属栏目：系统 来源：互联网
导读：微软在macOS系统中发现了一个安全漏洞，该漏洞CVE编号为CVE-2021-30892。攻击者利用该漏洞可以绕过macOS的系统完整性保护(System Integrity Protection，SIP)，并在设备上执行任意操作。研究人员还发现了一个类似的技术使得攻击者可以在受影响的设备上实现r
|
微软在macOS系统中发现了一个安全漏洞，该漏洞CVE编号为CVE-2021-30892。攻击者利用该漏洞可以绕过macOS的系统完整性保护(System Integrity Protection，SIP)，并在设备上执行任意操作。研究人员还发现了一个类似的技术使得攻击者可以在受影响的设备上实现root级的权限提升。 SIP是macOS系统中用于限制root用户执行可能破坏系统完整性的操作的技术。 Shrootless：macOS漏洞可绕过系统完整性保护 研究人员发现该漏洞位于安装了包含后安装脚本的苹果公司签名的包中。恶意用户可以创建一个精心伪造的文件来劫持安装过程，通过绕过SIP的限制，攻击者可以安装恶意kernel驱动、覆写系统文件、安装无法检测的恶意软件。 Shrootless漏洞分析 在苹果macOS能够绕过SIP保护的进程时，研究人员发现了守护进程 system_installd，具有com.apple.rootless.install.inheritable的权限。有了该权限，任何system_installd 子进程都可以绕过SIP文件系统的限制。 随后，研究人员检查system_installd的子进程，发现攻击者可以滥用该功能来绕过SIP。 比如，在安装苹果签名的包(.PKG文件)时，该包会调用system_installd，然后安装该包。如果包中含有后安装脚本，system_installd就会调用一个位于macOS zsh中的默认shell。Zsh启动后，会寻找文件/etc/zshenv，如果找到了就会自动地、非交互地运行该文件中的命令。因此，要在设备上执行任意操作的攻击者只需要创建一个恶意/etc/zshenv 文件，然后等待system_installd调用zsh即可。 为实现PoC漏洞利用，研究人员实现了如下算法： 下载一个含有后安装脚本的苹果公司签名的包(使用wget); 植入会检查父进程的恶意/etc/zshenv，如果是system_installd，就会写入受限的位置; 调用安装工具安装该包。 如下图所示，PoC漏洞利用可以覆写kernel扩展排除列表： zshenv 用作攻击向量 研究人员还发现，zshenv还可以用于除SIP绕过之外的攻击中。研究人员发现/etc/zshenv与每个用户的~/.zshenv是等价的，即具有相同的功能但是写入时不需要root权限。 （编辑：莆田站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
