Niebezpieczny 0day na OS X pozwala dostać się do chronionych obszarów
Specjaliści z firmy SentinelOne odkryli niedawno istotną wadę systemu OS X, która pozwala na lokalne przekroczenia uprawnień. Nie cieszy fakt, że dzięki luce można obejść System Integrity Protection – zabezpieczenie wprowadzone w ubiegłym roku w OS X El Capitan – z przestrzeni użytkownika.
Na wstępie należy zaznaczyć, że obecność luki została już zgłoszona firmie Apple i lada dzień system zostanie zabezpieczony. Odkryty 0day jest obecny nie tylko w systemie OS X 10.11, ale też w starszych wersjach. Lukę publicznie zaprezentował Pedro Vilaça, podczas konferencji SysCan360 w Singapurze. Na stronie firmy możecie znaleźć całą prezentację.
Co ciekawe, ta luka nie wykorzystuje modyfikacji zawartości pamięci, co jest popularnym wektorem ataków na systemu z rodziny OS X od wielu lat. Atak z wykorzystaniem odkrytej luki pozwala na wykonanie praktycznie każdego kodu binarnego. By obejść SIP, który w założeniu miał zapobiegać modyfikacjom chronionych plików i folderów, nie trzeba sięgać po exploity jądra.
Podczas prezentacji SIP na ubiegłorocznym WWDC Pierre-Olivier Martel przypomniał, że każdego malware'a od przejęcia pełnej kontroli nad urządzeniem dzieli tylko jedno hasło albo jedna luka. Miał rację, luka pozwalająca na pokonanie nowego systemu zabezpieczeń została już odkryta, a ponadto może działać na korzyść złoczyńców. Przygotowany do prezentacji exploit pozwala na przekroczenie uprawnień i obejście ochrony przed naruszeniem integralności systemu. W ten sposób można nadać szkodliwemu programowi status persistent, czyli trwale obecnego w systemie. SIP uzna go za integralną część systemu i będzie go chronił przed działaniami użytkownika.
By skorzystać z luki atakujący najpierw musi dostać się do systemu docelowego, w czym pomóc mogą choćby popularne ataki wyłudzające hasło bądź ataki przez przeglądarkę. Atak jest trudny do wykrycia popularnymi metodami i nie powoduje popularnych objawów, ale zwykli użytkownicy raczej nie mają czego się obawiać. Specjaliści przewidują, że zastosowaniem luki będą raczej ataki ukierunkowane i sponsorowane, a więc osoby wysoko postawione, które na swoich Macach przechowują ważne dla kogoś dane.