Luka zero-day w macOS Finder umożliwia ciche wykonanie kodu

Badacze bezpieczeństwa ujawnili, że nowo odkryta luka zero-day w komponencie Finder systemu macOS umożliwia ciche wykonywanie kodu i uruchamianie dowolnych poleceń. Ujawnienia dokonano za pośrednictwem SSD Secure Disclosure – platformy mającej na celu odpowiedzialne zgłaszanie i ujawnianie podatności dostawcom.

Według badaczy luka polega na sposobie, w jaki macOS Finder radzi sobie z plikami .inetloc. Przypominają one skróty internetowe używane na komputerach z systemem Windows, ale mają nieco szerszą funkcjonalność. Plik .inetloc może wskazywać nie tylko stronę internetową lub adres URL, ale także kanały informacyjne, a nawet lokalizacje Telnet.

Problem wynika z dodatkowej funkcjonalności, jaką mają pliki .inetloc — mogą wskazywać na lokalne dokumenty, które znajdują się na dysku twardym użytkownika, używając tego samego formatu pliku. Działa to podobnie do działania skrótów do plików w systemach Windows, gdzie część http:// pliku .inetloc jest zastępowana przez file://.

Aktor zagrożenia musiałby jedynie utworzyć spreparowany, złośliwy plik .inetloc, który zawiera osadzone w nim polecenia. Po wyprodukowaniu sfałszowanego pliku wystarczy rozesłać go do wystarczającej liczby ofiar, wykorzystując kampanie spamu i socjotechnikę, aby skłonić użytkowników do otwarcia złośliwego załącznika.

Co ważne, problem dotyczy również macOS Big Sur - aktualnej wersji systemu operacyjnego i nie ogranicza się do starych lub niezałatanych wydań. Problem został zgłoszony do platformy SSD Secure Disclosure przez niezależnego badacza o imieniu Park Minchan.

W odpowiedzi firma Apple szybko wydała poprawkę, ale nie złożyła wpisu CVE dotyczącego problemu. Jednak według naukowców poprawka nie rozwiązała całkowicie problemu.

Poprawka spowodowała, że prefiks file:// przestał działać, ale poprawka uwzględniała wielkość liter, co oznacza, że File:// nadal może obejść poprawkę.

ThreatPost poinformował, że nie ma informacji o aktywnym wykorzystywaniu omawianej luki i stwierdził, że nie otrzymał odpowiedzi, gdy kontaktował się z Apple w celu uzyskania dalszych komentarzy.