Поделиться
Опасная уязвимость грозит всем iPhone, iPad и Mac
Выявленный «баг» позволяет обходить систему предоставления разрешений для приложений в iOS и macOS. При наихудшем раскладе злоумышленники получают возможность выводить некоторые данные на внешние ресурсы.
Непрозрачность, несогласие и отсутствие контроля
Уязвимость в операционных системах iOS/iPadOS и macOS позволяла обходить ключевой механизм защиты данных в устройствах Apple. Сама по себе уязвимость получила довольно низкий рейтинг по шкале угроз CVSS (5,3 балла), и к настоящему моменту к ней уже выпущены исправления.
Тем не менее, поскольку речь идёт об обходе критического компонента - защитного фреймворка TCC, «баг» привлёк существенное внимание.
Проблема была обнаружена экспертами компании Jamf Threat Labs. По их утверждению, в результате эксплуатации уязвимости потенциальный злоумышленник может выводить из системы значимые данные без ведома пользователя.
TCC (Transparency, Consent, and Control - «Прозрачность, Согласие и Контроль») заведует разрешениями на доступ к значимым данным со стороны приложений. К таким данным относятся геоданные (GPS), контакты, фотографии, микрофон, камера и т.д.
Выявленная уязвимость непосредственно содержится в компоненте FileProvider и связана с недостатком валидации символических ссылок.
Благодаря ей потенциальное вредоносное приложение, работающее в фоновом режиме, может перехватывать действия пользователя, связанные с копированием и перемещением файлов в приложении Files, и перенаправлять их на внешний ресурс.
Это возможно из-за повышенных привилегий, которыми наделён компонент («демон») fileproviderd, отвечающий за операции с файлами в iCloud и другими сторонними облачными менеджерами. В результате потенциальное вредоносное приложение может даже загружать файлы на удалённый сервер.
«Когда пользователь перемещает или копирует файлы или целые каталоги в приложении Files.app в каталог, доступный вредоносному приложению, работающему в фоновом режиме, злоумышленник может изменить символические ссылки, чтобы обмануть приложение, - говорится в публикации Jamf. - Метод атаки подразумевает копирование вначале безопасного файла; это подаёт распознаваемый сигнал вредоносному процессу сигнал о том, что копирование началось. Затем, когда процесс уже идёт, внедряется символическая ссылка, так что в результате её проверка не осуществляется».
Тихими сапами
Как следствие, у потенциального злоумышленника появляется возможность копировать, перемещать или даже удалять различные файлы и каталоги внутри /var/mobile/Library/Mobile Documents, и благодаря этому получать доступ к резервным данным iCloud, связанным с системными и сторонними приложениями.
При этом пользователю не будут выводиться никакие уведомления об этом.
Тип данных, к которым можно получить доступ таким методом, зависит от того, какой системный процесс осуществляет в данный момент операцию с файлами.
Фактически от привилегий целевого процесса напрямую зависит степень угрозы.
«Она демонстрирует брешь в управлении контролем доступа к определённым типам данным: не все данные можно вывести, не вызывая сигнала тревоги в системе, из-за состояния гонки. Например, данные в каталогах, которые защищены случайно подобранными UUID, и данные, извлекаемые посредством определённых API, эта атака не затрагивает», - указывают эксперты Jamf.
«Всё это означает, что у этой атаки довольно узкое окно возможностей, и сравнительно низкий уровень угрозы ей присвоен справедливо, - считает Никита Павлов, эксперт по информационной безопасности компании SEQ. - Хотя, конечно, существуют сценарии, при котором она может представлять совершенно реальную угрозу. В любом случае, установить обновления стоит как можно скорее».
К нынешнему времени Apple выпустила обновления ко всем своим операционным системам, а также браузеру Safari. Браузер, iOS и iPadOS обновились до версии 18.2, iPadOS - до версии 17.7.3. Операционые системы macOS - Ventura, Sonoma и Sequoia - до версий 13.7.2, 14.7.2 и 15.2, соответственно.
Системы watchOS обновилась до версии 11.2, tvOS - до 18.2, а visionOS - до индекса 2.2.
Поделиться
Короткая ссылка
