Các nhà nghiên cứu bảo mật đã chia sẻ chi tiết về lỗ hổng bảo mật hiện đã được giải quyết trong hệ điều hành macOS của Apple có thể bị khai thác để chạy các ứng dụng độc hại theo cách có thể vượt qua các biện pháp bảo mật của Apple.
Lỗ hổng, được theo dõi là CVE-2022-32910, bắt nguồn từ Tiện ích lưu trữ tích hợp và “có thể dẫn đến việc thực thi ứng dụng chưa được ký và chưa được công chứng mà không hiển thị lời nhắc bảo mật cho người dùng, bằng cách sử dụng kho lưu trữ được chế tạo đặc biệt,” Apple công ty quản lý thiết bị Jamf cho biết trong một phân tích.
Sau tiết lộ có trách nhiệm vào ngày 31 tháng 5 năm 2022, Apple đã giải quyết vấn đề này như một phần của macOS Big Sur 11.6.8 và Monterey 12.5 phát hành vào ngày 20 tháng 7 năm 2022. Về phần mình, gã khổng lồ công nghệ cũng đã sửa đổi các lời khuyên đã ban hành trước đó kể từ tháng 10 4 để thêm một mục cho lỗ hổng.
Apple đã mô tả lỗi này là một vấn đề logic có thể cho phép một tệp lưu trữ lọt vào vòng kiểm tra của Gatekeeper, được thiết kế để xác định rằng chỉ phần mềm đáng tin cậy mới chạy trên hệ điều hành.
Công nghệ bảo mật đạt được điều này bằng cách xác minh rằng gói đã tải xuống là từ một nhà phát triển hợp pháp và đã được Apple công chứng – tức là được đóng dấu phê duyệt để đảm bảo gói đó không bị giả mạo một cách ác ý.
“Gatekeeper cũng yêu cầu sự chấp thuận của người dùng trước khi mở phần mềm đã tải xuống lần đầu tiên để đảm bảo rằng người dùng không bị lừa chạy mã thực thi mà họ cho rằng đó chỉ đơn giản là một tệp dữ liệu”, Apple lưu ý trong tài liệu hỗ trợ của mình.
Cũng cần lưu ý rằng các tệp lưu trữ được tải xuống từ internet được gắn thẻ thuộc tính mở rộng “com.apple.quarantine”, bao gồm các mục trong tệp, để kích hoạt kiểm tra Gatekeeper trước khi thực thi.
Nhưng trong một tình huống đặc biệt được phát hiện bởi Jamf, người ta phát hiện ra rằng Tiện ích lưu trữ không thể thêm thuộc tính cách ly vào một thư mục “khi giải nén một kho lưu trữ chứa hai hoặc nhiều tệp hoặc thư mục trong thư mục gốc của nó.”
Trở thành Chuyên gia ứng phó sự cố!
Mở khóa các bí mật để ứng phó với sự cố chống đạn – Nắm vững quy trình 6 Giai đoạn với Asaf Perlman, Trưởng nhóm IR của Cynet!
Đừng bỏ lỡ – Tiết kiệm chỗ ngồi của bạn!
Do đó, bằng cách tạo một tệp lưu trữ có phần mở rộng “exploit.app.zip”, nó dẫn đến tình huống trong đó việc hủy lưu trữ dẫn đến việc tạo một thư mục có tên “exploit.app”, đồng thời thiếu thuộc tính cách ly.
Nhà nghiên cứu Ferdous Saljooki của Jamf, người đã phát hiện ra lỗ hổng, cho biết ứng dụng này “sẽ bỏ qua tất cả các kiểm tra của Gatekeeper cho phép một tệp nhị phân không được công chứng và/hoặc không được ký để thực thi”. Apple cho biết họ đã giải quyết lỗ hổng bằng các biện pháp kiểm tra được cải thiện.
Phát hiện này được đưa ra hơn sáu tháng sau khi Apple giải quyết một lỗ hổng tương tự khác trong macOS Catalina, Big Sur 11.6.5 và Monterey 12.3 (CVE-2022-22616) có thể cho phép một kho lưu trữ ZIP độc hại vượt qua kiểm tra của Gatekeeper.
