I ricercatori di sicurezza appena scoperto una vulnerabilità di bypass firma del codice che consente di codice dannoso potrebbe mascherarsi da un funzionario Applicare file system. In altre parole, alcune delle implementazioni di API firma del codice ufficiale di Apple può essere sfruttata dagli hacker.
Apple ha reso un'API a disposizione degli sviluppatori che desiderano costruire una funzione di sicurezza che ha verificato i file di Apple come legittimo. Il problema deriva dal modo alcuni sviluppatori hanno implementato l'API, introducendo così una vulnerabilità nel prodotto di sicurezza.
La falla permette di codice maligno non firmato a guardare come è stato firmato da Apple. Come risultato di questo “equivoco”, il malware può ingannare i prodotti e servizi di sicurezza vulnerabili a credere che è solo un altro file legittimo di Apple.
Chi è affetto da questa vulnerabilità? Una serie di prodotti per la sicurezza, diversi progetti open-source e le funzioni di sicurezza utilizzato da Google, Facebook e Yelp.
Ulteriori informazioni sulla vulnerabilità
Come ha spiegato dal ricercatore Josh Pitt a Okta, il difetto esiste nella differenza tra quanto i carichi caricatore Mach-O hanno firmato il codice rispetto a quanto impropriamente utilizzato Codice API firma assegno firmato il codice e viene sfruttata tramite un malformati Universal / Fat Binary (un formato binario che contiene diversi file Mach-O con ogni destinate a una specifica architettura della CPU nativa).
Va notato che ci sono diverse condizioni per la vulnerabilità al lavoro:
– Il primo Mach-O nel file Fat / Universal deve essere firmata da Apple, può essere i386, x86_64, o addirittura PPC.
– Il binario dannoso, o non-Apple ha fornito il codice, deve essere ad hoc firmati e compilati i386 per un bit x86_64 MacOS bersaglio.
– Il CPU_Type nell'intestazione grasso del binario di Apple deve essere impostato su un tipo non valido o un tipo di CPU che non è nativo al chipset ospite.
Il concetto proof-of-iniziale ha dimostrato quanto sia facile per la falla da sfruttare con successo - l'exploit non ha nemmeno richiedere l'accesso di amministrazione né richiede codice JIT'ing o di corruzione della memoria per bypassare i controlli di firma codice. Tutto ciò che è necessario è un “file in modo corretto formattato Fat / Universal, e [poi] controlli di firma codice [vengono restituiti come] valido“, il ricercatore ha sottolineato.
Patching è responsabilità del Developer
In aggiunta, le API di firma del codice hanno bandiere che dovrebbe assicurare che tutti questi file sono firma crittografica. La verità è diversa, come "queste API sono inferiori di default, e sviluppatori di terze parti dovranno ritagliarsi e verificare ogni architettura nel file Fat / Universal e verificare che le identità partita e sono sani crittograficamente.”Quanto a chi è responsabile per il patching del problema, ricercatore Okta dice che è responsabilità dello sviluppatore.
Noti colpiti fornitori e progetti open-source sono allertati e patch sono disponibili. Ecco un elenco di fornitori interessati e le patch che si applicano:
Carbone nero (CVE-2.018-10.407); Facebook (CVE-2018-6336); F-Secure (CVE-2.018-10.403); Google (CVE-2.018-10.405); sviluppo obiettivo (CVE-2.018-10.470); Objective-See (CVE-2.018-10.404); VirusTotal (CVE-2.018-10.408); e Yelp (CVE-2.018-10.406)
Ci possono essere anche più di sicurezza di terze parti, forensics e strumenti di risposta agli incidenti che utilizzano le API ufficiali di firma del codice, significa che ci sono parti più colpite. Il ricercatore invita gli sviluppatori di controllare il loro codice usando la sua proof-of-concept.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: