CVE-2021-30892: SIP保護をバイパスするmacOSの脆弱性

シュルートレス, またはCVE-2021-30892, 新しいです, 脅威アクターがセキュリティ制限を回避できる可能性のあるOSレベルの脆弱性, システム整合性保護として知られています (SIP), デバイスを引き継ぐためにmacOSで. これが行われると, ハッカーは、セキュリティソリューションによって検出されることなく、さまざまな任意の操作を実行できます. 脆弱性に関する詳細はマイクロソフトによって開示されました.

CVE-2021-30892: “シュルートレス” SIPをバイパスするmacOSの脆弱性

システム整合性保護とは何ですか? SIPはmacOSのセキュリティ機能です, ルートユーザーがシステムの整合性を損なう可能性のある操作を実行することを制限するように設計されています. Microsoftは、「SIP保護をバイパスする資格のあるプロセスを評価しているときに」SIPの欠陥を発見したと述べた。

これは、インストール後のスクリプトを含むAppleが署名したパッケージがインストールされる方法に起因する脆弱性をチームが発見した方法です。. А脅威アクターは、インストールプロセスを乗っ取るために特定のファイルを作成する可能性があります, 制限を回避する, 悪意のあるカーネルドライバまたはルートキットをインストールします. これが達成された場合, 攻撃者はシステムファイルを上書きし、永続的なマルウェアをインストールする可能性もあります, 脆弱性に起因する他の危険の中でも.

「このOSレベルの脆弱性や、必然的に明らかになるその他の脆弱性は、攻撃者が悪用する可能性のある攻撃ベクトルの数を増やします。. ネットワークがますます不均一になるにつれて, Windows以外のデバイスを危険にさらそうとする脅威の数も増加します,」マイクロソフト 365 擁護者研究チームが指摘した.

CVE-2021-30892の脆弱性はどのように機能しますか?

MicrosoftはSIPテクノロジーを評価しました, 「system_instald」と呼ばれるソフトウェアインストールデーモンを発見しました. デーモンにより、子プロセスはSIPをバイパスできます. これは何を意味するのでしょうか? Appleが署名したパッケージがデバイスにインストールされている場合, system_installdデーモンを呼び出します, デフォルトのシェルを呼び出すことにより、パッケージに含まれるインストール後のスクリプトを実行します:

SIP保護をバイパスする資格のあるmacOSプロセスを評価している間, デーモンsystem_installdに出くわしました, 強力なcom.apple.rootless.install.inheritableエンタイトルメントがあります. この資格で, system_installdの子プロセスは、SIPファイルシステムの制限を完全に回避できます。.

チームは、system_installdのすべての子プロセスも調べました。, 攻撃者がその機能を悪用してSIPをバイパスする可能性のあるいくつかのケースを発見しました:

例えば, Appleが署名したパッケージをインストールするとき (.pkgファイル), 上記のパッケージはsystem_installdを呼び出します, その後、前者のインストールを担当します. パッケージにインストール後のスクリプトが含まれている場合, system_installdは、デフォルトのシェルを呼び出してそれらを実行します, これはmacOSのzshです. 興味深いことに, zshが起動するとき, / etc/zshenvファイルを検索します, そして、見つかった場合は、そのファイルからコマンドを自動的に実行します, 非対話型モードでも. したがって, 攻撃者がデバイス上で任意の操作を実行するため, 彼らがたどることができる完全に信頼できるパスは、悪意のある/ etc / zshenvファイルを作成し、system_installdがzshを呼び出すのを待つことです。.

Shrootlessの脆弱性の概念実証が利用可能です.

チームは共有しました 彼らの調査結果 調整された脆弱性の開示を通じてアップルに (CVD) Microsoft SecurityVulnerabilityResearch経由 (MSVR).

九月に, Appleはのアップデートをリリースしました 野生で悪用された3つのゼロデイ欠陥.