Chyba zabezpečení systému macOS CVE-2024-44243

Microsoft odhalil bezpečnostní zranitelnost v Apple macOS, která by v případě zneužití mohla umožnit hackerovi s přístupem root obejít System Integrity Protection (SIP). Tato chyba by umožnila neoprávněnou instalaci poškozených ovladačů jádra prostřednictvím rozšíření jádra třetích stran, což by výrazně ohrozilo zabezpečení systému.

Podrobnosti o CVE-2024-44243

Chyba zabezpečení označená jako CVE-2024-44243 měla skóre závažnosti CVSS 5,5 a byla zařazena do kategorie středně rizikového problému. Apple tuto chybu vyřešil v aktualizaci macOS Sequoia 15.2 minulý měsíc. Společnost to popsala jako „problém s konfigurací“, který by mohl umožnit nebezpečné aplikaci upravit chráněné oblasti souborového systému a účinně oslabit základní bezpečnostní ochranu.

Rizika obcházení SIP

System Integrity Protection, známá také jako „rootless“, je základní bezpečnostní mechanismus macOS navržený tak, aby zabránil neoprávněným úpravám důležitých systémových komponent. Obcházením SIP by útočníci mohli instalovat trvalé hrozby, jako jsou rootkity, obcházet rámec transparentnosti, souhlasu a kontroly (TCC) společnosti Apple a otevřít dveře dalšímu zneužití.

Jak SIP chrání macOS

SIP funguje tak, že vynucuje přísné kontroly přístupu k základním adresářům, včetně /System, /usr, /bin, /sbin a /var. Omezuje úpravy těchto oblastí pouze na procesy podepsané společností Apple se specifickými oprávněními, jako jsou aktualizace softwaru a instalační programy systému. Tato ochrana zabraňuje uživatelům i útočníkům v manipulaci se základními funkcemi macOS.

Oprávnění SIP: Dvojsečný meč

Apple poskytuje dvě klíčová oprávnění SIP, která regulují úpravy:

• com.apple.rootless.install : Uděluje oprávnění obejít omezení systému souborů SIP pro konkrétní proces.
• com.apple.rootless.install.heritable: Rozšiřuje oprávnění k vynechání na proces a všechny jeho podřízené procesy.

Využití těchto oprávnění by mohlo útočníkům umožnit přepsat ochranu SIP, což z něj činí zásadní bezpečnostní problém.

The Exploit: Jak by útočníci mohli obejít SIP

Nově objevený bypass SIP, podobný dřívějším exploitům jako CVE-2021-30892 (Shrootless) a CVE-2023-32369 (Migraine), využívá oprávnění 'com.apple.rootless.install.heritable' v rámci démona Storage Kit systému macOS (storagekitd ).

Zneužitím schopnosti storagekitd spouštět libovolné procesy bez ověření by útočníci mohli zavést do /Library/Filesystems hrozivý balíček souborového systému. To by jim umožnilo přepsat binární soubory spojené s Diskovou utilitou macOS a spustit útok během operací, jako je oprava disku. Kromě toho by uživatel root mohl tuto chybu zneužít ke spuštění neoprávněného kódu a zcela obejít ochranu SIP.

Pokračující bezpečnostní zjištění společnosti Microsoft

Tento objev navazuje na dřívější zprávu společnosti Microsoft o další zranitelnosti systému macOS v rámci Transparency, Consent and Control (TCC) (CVE-2024-44133, neboli HM Surf). Tato chyba se stejným CVSS skóre 5,5 mohla být zneužita k přístupu k citlivým uživatelským datům. Opakované zacílení bezpečnostních opatření macOS zdůrazňuje potřebu nepřetržité bdělosti a oprav.

Větší obrázek: Proč na SIP záleží

Omezením rozšíření jádra třetích stran Apple vylepšuje stabilitu a zabezpečení macOS. Obejití SIP však tyto ochrany ohrozí, čímž se systém stává zranitelným vůči pokročilým hrozbám. Pokud je SIP deaktivován, bezpečnostní řešení mohou také ztratit viditelnost, což útočníkům umožní manipulovat nebo deaktivovat bezpečnostní nástroje bez povšimnutí.

Primární cíl pro útočníky

SIP zůstává vysoce hodnotným cílem pro výzkumníky v oblasti bezpečnosti i pro aktéry hrozeb. Mnoho bezpečnostních obran společnosti Apple předpokládá, že SIP nelze obejít, takže jakékoli zneužití představuje významný průlom. Úspěšné útoky by mohly hackerům umožnit umístit škodlivé soubory do chráněných adresářů, skrýt aktivitu před bezpečnostními nástroji a zcela obejít bezpečnostní výzvy macOS.

Zůstat chráněn: Proč jsou aktualizace nezbytné

Útočníci jsou známí tím, že používají taktiku sociálního inženýrství, aby vmanipulovali uživatele k udělování zbytečných oprávnění. Využití SIP by však mohlo zcela eliminovat potřebu interakce uživatele. Vzhledem k zásadní roli SIP v zabezpečení macOS je nejlepší obranou proti takovým zranitelnostem zajistit, aby byl macOS vždy aktuální. Instalace bezpečnostních záplat společnosti Apple ihned po jejich vydání je nejúčinnějším způsobem, jak zabránit útočníkům ve zneužití těchto nedostatků.