Vulnerabilidade de Dia Zero no macOS Finder Permite a Execução Silenciosa de um Código

Uma vulnerabilidade de dia zero recém-descoberta no componente Finder do macOS permite a execução de um código e a execução de comandos arbitrários silenciosamente, revelaram os pesquisadores de segurança. A divulgação foi feita por meio do SSD Secure Disclosure - uma plataforma voltada para o relato responsável e a divulgação de vulnerabilidades aos fornecedores.

De acordo com os pesquisadores, a vulnerabilidade reside na maneira como o macOS Finder lida com arquivos .inetloc. Esses se assemelham aos atalhos da Web usados nas máquinas Windows, mas têm uma funcionalidade um pouco mais ampla. Um arquivo .inetloc pode apontar não apenas para um site ou URL, mas também para feeds de notícias ou até mesmo para Telnet locais.

O problema vem de uma funcionalidade extra, que os arquivos .inetloc têm - eles podem apontar para documentos locais que residem no disco rígido do usuário, usando o mesmo formato de arquivo. Isso funciona de forma semelhante à forma como os atalhos de arquivo funcionam nos sistemas Windows, na qual a parte http:// do arquivo .inetloc é substituída por file://.

Um agente de ameaça só precisa criar um arquivo .inetloc adulterado e malicioso que contenha comandos incorporados a ele. Uma vez que o arquivo adulterado tenha sido produzido, é apenas uma questão de espalhá-lo entre as vítimas, usando campanhas de spam e engenharia social para fazer os usuários abrirem o anexo malicioso.

É importante ressaltar que o problema também afeta o macOS Big Sur - a versão atual do sistema operacional e não se limita a versões antigas ou sem correção. O problema foi relatado na plataforma SSD Secure Disclosure por um pesquisador independente chamado Park Minchan.

Em resposta, a Apple rapidamente lançou uma correção par o hotfix, mas não registrou uma entrada CVE para o problema. No entanto, de acordo com os pesquisadores, a correção não resolveu completamente o problema.

A correção fez com que o prefixo file:// não funcionasse mais, mas a correção fazia distinção entre maiúsculas e minúsculas, o que significa que o file:// ainda pode contornar a correção.

O ThreatPost relatou que não há informações sobre a exploração ativa da vulnerabilidade em questão e afirmou que não recebeu uma resposta ao entrar em contato com a Apple para mais comentários.