Zero-day-kwetsbaarheid in macOS Finder maakt uitvoering van stille code mogelijk

Een nieuw ontdekte zero-day kwetsbaarheid in de Finder-component van macOS zorgt voor het uitvoeren van code en het stil uitvoeren van willekeurige opdrachten, onthulden beveiligingsonderzoekers. De onthulling is gedaan via SSD Secure Disclosure - een platform gericht op het verantwoord rapporteren en openbaar maken van kwetsbaarheden aan leveranciers.

Volgens de onderzoekers zit de kwetsbaarheid in de manier waarop macOS Finder omgaat met .inetloc-bestanden. Die lijken op websnelkoppelingen die op Windows-machines worden gebruikt, maar hebben een iets bredere functionaliteit. Een .inetloc-bestand kan niet alleen naar een website of URL verwijzen, maar ook naar nieuwsfeeds of zelfs Telnet-locaties.

Het probleem komt van een extra stukje functionaliteit dat .inetloc-bestanden hebben - ze kunnen verwijzen naar lokale documenten die zich op de harde schijf van een gebruiker bevinden, met hetzelfde bestandsformaat. Dit werkt op dezelfde manier als bestandssnelkoppelingen op Windows-systemen, waarbij het http://-gedeelte van het .inetloc-bestand wordt vervangen door file://.

Een dreigingsactor hoeft alleen maar een vervalst, kwaadaardig .inetloc-bestand te maken met daarin ingebedde opdrachten. Zodra het gemanipuleerde bestand is geproduceerd, is het alleen nog een kwestie van het verspreiden onder voldoende slachtoffers, met behulp van malspam-campagnes en social engineering om de gebruikers ertoe te brengen de schadelijke bijlage te openen.

Belangrijk is dat het probleem ook van invloed is op macOS Big Sur - de huidige versie van het besturingssysteem en is niet beperkt tot oude of niet-gepatchte releases. Het probleem werd gemeld aan het SSD Secure Disclosure-platform door een onafhankelijke onderzoeker genaamd Park Minchan.

Als reactie hierop bracht Apple snel een hotfix-patch uit, maar diende geen CVE-vermelding in voor het probleem. Volgens onderzoekers loste de oplossing het probleem echter niet volledig op.

De fix zorgde ervoor dat het voorvoegsel file:// niet meer werkte, maar de patch was hoofdlettergevoelig, wat betekent dat File:// de fix nog steeds kan omzeilen.

ThreatPost meldde dat er geen informatie is over actieve exploitatie van de kwetsbaarheid in kwestie en verklaarde dat ze geen reactie hebben ontvangen toen ze contact met Apple opnemen voor verdere opmerkingen.