Beveiliging onderzoekers net ontdekt een-code ondertekenen omzeilen kwetsbaarheid waarmee schadelijke code voordoen als een officiële Breng systeembestand. Met andere woorden, een deel van de implementaties van officiële-code ondertekenen API Apple's kunnen worden uitgebuit door hackers.
Apple heeft een API beschikbaar voor ontwikkelaars die graag een beveiligingsfunctie die Apple bestanden geverifieerd als legitiem te bouwen gemaakt. Het probleem komt voort uit de manier waarop sommige ontwikkelaars hebben de API geïmplementeerd, zo voor een kwetsbaarheid in het beveiligingsproduct.
De fout zorgt voor unsigned kwaadaardige code te laten uitzien als het is door Apple ondertekend. Als gevolg van deze “misverstand”, malware kan truc kwetsbaar security producten en diensten in het geloven het is gewoon een andere legitieme Apple file.
Wie wordt beïnvloed door dit beveiligingslek? Een groot aantal beveiligingsproducten, diverse open-source projecten en beveiligingsfuncties die worden gebruikt door Google, Facebook en Yelp.
Meer over de kwetsbaarheid
Als toegelicht door onderzoeker Josh Pitt op Okta, de fout bestaat in het verschil tussen de manier waarop de Mach-O-loader laadt ondertekend code versus hoe onjuist gebruikt Code Signing API's ondertekend code en wordt geëxploiteerd via een ongeldige Universal / Fat Binary (een binair formaat dat een aantal Mach-O-bestanden met elk gericht op een specifiek eigen CPU architectuur).
Opgemerkt dient te worden dat er verschillende voorwaarden voor de kwetsbaarheid aan het werk:
– De eerste Mach-O in de Fat / Universal bestand moet worden ondertekend door Apple, kan i386, x86_64, of zelfs PPC.
– De kwaadaardige binaire, of niet-Apple geleverde code, moeten adhoc worden ondertekend en i386 samengesteld voor een x86_64 bit doelwit MacOS.
– De CPU_TYPE in de Fat header van de Apple binaire moet worden ingesteld op een ongeldige type of een CPU type dat is niet afkomstig van de host-chipset.
Het eerste concept proof-of-aangetoond hoe gemakkelijk het is voor de fout met succes kunnen worden benut - de exploit niet eens nodig admintoegang evenmin dat JIT'ing code of het geheugen corruptie code-signing controles te omzeilen. Het enige dat nodig is, is een “correct opgemaakt Fat / Universal file, en [dan] code-signing controles [worden geretourneerd als] Geldig“, de onderzoeker wees erop.
Patching is de verantwoordelijkheid van de Developer's
Bovendien, de code te ondertekenen API's vlaggen die ervoor moeten zorgen dat al deze bestanden cryptografisch ondertekend. De waarheid is anders, als "deze API's te kort schieten standaard, en third-party ontwikkelaars zullen nodig hebben om uit te spitten en te controleren elke architectuur in de Fat / Universal-bestand en nagaan of de identiteit passen en zijn cryptografisch geluid.”Met betrekking tot die verantwoordelijk is voor het patchen van de uitgifte, Okta onderzoeker zegt dat het de verantwoordelijkheid van de ontwikkelaar.
Bekend getroffen leveranciers en open-source projecten worden gewaarschuwd en patches zijn beschikbaar. Hier is een lijst van de betrokken leveranciers en het toepassen van patches:
Carbon zwart (CVE-2018-10.407); Facebook (CVE-2018-6336); F-Secure (CVE-2018-10.403); Google (CVE-2018-10.405); Objective Development (CVE-2018-10.470); Objective-See (CVE-2018-10.404); VirusTotal (CVE-2018-10.408); en Yelp (CVE-2018-10.406)
Er kunnen nog meer van derden zekerheid, forensische en incident response tools die de officiële-code ondertekenen API's gebruiken, wat betekent dat er meer betrokken partijen. De onderzoeker roept ontwikkelaars om hun code te controleren met behulp van zijn proof-of-concept.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: