r   e   k   l   a   m   a
r   e   k   l   a   m   a

Firmware śpiących Maków szeroko otwarte na zdalnie instalowane bootkity

Strona główna AktualnościOPROGRAMOWANIE

Z bezpieczeństwem Maków bywa różnie; w teorii uważa się, że są bezpieczniejsze od pecetów z Windows, ale z kolei polityka bezpieczeństwa Apple niejednokrotnie okazywała się gorsza niż Microsoftu. Odkryta przez Pedro Vilaca luka w zabezpieczeniach wszystkich Maków wyprodukowanych przed połową 2014 roku stanowi jednak zagrożenie, przed którym niełatwo się będzie ustrzec – i otwiera drogę do zdalnych ataków, za pomocą których przejąć można kontrolę nad firmware komputera.

Przedstawiony w zeszłym roku exploit wykorzystujący lukę w interfejsie Thunderbolt wzbudził duże zainteresowanie specjalistów od bezpieczeństwa, dawał bowiem możliwość przejęcia niskopoziomowej kontroli nad Makiem ofiary. Wymagał jednak fizycznego dostępu do maszyny, przez co zakres jego stosowalności był poważnie ograniczony. Apple usunęło wykorzystywaną przez exploita lukę w poprawkowym wydaniu Yosemite, tym razem sytuacja jest jednak gorsza. Odkrytą przez Vilaca lukę wyexploitować można bowiem zdalnie, przepisując firmware Maka za pomocą mechanizmów tkwiących w userlandzie (obszarze aplikacji użytkownika i sterowników) OS X. Uzyskujemy w ten sposób złośliwe oprogramowanie, które jest w stanie przetrwać formatowanie i reinstalację systemu operacyjnego.

Aktualizacja firmware z poziomu userlandu to niezbyt dobry pomysł i system posiada zabepieczenia przez takimi operacjami. Mechanizm FLOCKDN pozwala aplikacjom użytkownika na dostęp do BIOS-u Maka jedynie w trybie tylko do odczytu. Okazało się jednak, że z jakiegoś niezrozumiałego dla odkrywcy luki powodu mechanizm ten jest wyłączany w momencie, gdy Mak budzi się z trybu uśpienia. Wtedy to oprogramowanie działające z uprawnieniami roota zyskuje możliwość flashowania binarek EFI.

r   e   k   l   a   m   a

Aby wykorzystać tę lukę, potrzeba oczywiście jeszcze dysponować atakiem pozwalającym na eskalację uprawnień, ale nie jest tak, że ataki tego typu na Maku są nieznane – w zeszłym roku głośno było np. o rootpipe, dzięki któremu można było użyć komendy sudo bez podania hasła użytkownika. Ten i inne podobne błędy mogą zostać wykorzystane przez złośliwe skrypty, umieszczone na stronach internetowych odwiedzonych przez użytkownika w Safari. Jak pisze o tym Vilac, jedynym wymogiem jest to, by w aktualnej sesji doszło do uśpienia i wybudzenia komputera.

Równie niezrozumiałe jest to, dlaczego wszystkie Maki wyprodukowane w drugiej połowie 2014 roku i później są pozbawione tego błędu. Czyżby Apple po cichu usunęło lukę, zapominając zrobić to w starszych maszynach? Użytkownicy niewiele mogą tu zrobić, by się zabezpieczyć. Albo zrezygnują w ogóle z usypiania systemu, albo skorzystają z narzędzia rwmem autorstwa badacza, który odkrył lukę w Thunderbirdzie, by za jego pomocą stworzyć binarną kopię firmware – a potem co pewien czas porównywać z nowo robionymi obrazami. Nie jest to jednak coś, co można polecić typowemu użytkownikowi Maka, który nigdy wcześniej w życiu nie widział powłoki bash.

Apple nie poinformowało, kiedy naprawi zgłoszoną przez Vilaca lukę. Więcej informacji znajdziecie na blogu Reverse Engineering Mac OS X.

© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.   

Trwa konkurs "Ogól naczelnego", w którym codziennie możecie wygrać najnowsze maszynki systemowe Hydro Connect 5 marki Wilkinson Sword.

Więcej informacji

Gratulacje!

znalezione maszynki:

Twój czas:

Ogól Naczelnego!
Znalazłeś(aś) 10 maszynek Wilkinson Sword
oraz ogoliłaś naszego naczelnego!
Przejdź do rankingu
Podpowiedź: Przyciśnij lewy przycisk myszki i poruszaj nią, aby ogolić brodę.