专家详述 macOS 漏洞 :可让恶意软件绕过安全门卫


据The Hacker News 12月24日消息,Apple 最近修复了 macOS 操作系统中的一个安全漏洞,攻击者可能会利用该漏洞“轻而易举地”绕过“无数 macOS 的基本安全机制”并运行任意代码。

安全研究员Patrick Wardle在上周的一系列推文中详细介绍了这一发现。该漏洞被追踪为 CVE-2021-30853(CVSS 评分:5.5),被指与流氓 macOS 应用程序可能绕过Gatekeeper检查的场景有关。原本这项检查是确保只有受信任的应用程序才能运行,要想获得“信任”,应用程序必须通过称为 "应用程序公证 "的自动化过程。

苹果公司称,Box公司的Gordon Long报告了这一漏洞,并表示,在2021年9月20日正式发布的macOS 11.6更新中,该公司通过改进检查功能解决了这一漏洞。

Wardle 在一篇关于该漏洞的技术报告中说:“此类漏洞通常对 macOS 用户影响特别大,因为它们为广告软件和恶意软件攻击者提供了绕过macOS安全机制的途径……这些机制本来可以阻止这些恶意软件的进一步传播。”

具体而言,该漏洞不仅绕过了“门卫”,还绕过了文件隔离和 macOS 的公证要求,有效地允许看似无害的 PDF 文件只需打开它就可以危及整个系统。根据 Wardle 的说法,问题的根源在于基于脚本的未签名、未公证的应用程序,无法明确指定解释器,从而导致其完美绕过。

值得注意的是,shebang解释器指令例如#!/bin/sh 或#!/bin/bash,通常用于解析和解释shell 程序。但在这种边缘攻击中,攻击者可以制作一个应用程序,以便在不提供解释器(即 #!)的情况下合并 shebang 行,并且仍然让底层操作系统在不发出任何警报的情况下启动脚本。

Wardle 解释说,这是因为“macOS 将(重新)尝试通过 shell ('/bin/sh') 执行失败的 ['interpreter-less' 基于脚本的应用程序]”。

换句话说,攻击者可以通过诱骗目标打开流氓应用程序来利用此漏洞,该应用程序可以伪装为 Adobe Flash Player 更新或 Microsoft Office 等合法应用程序的木马化版本,而这些应用程序又可以通过一种叫做“搜索中毒”的方法来实现,即攻击者人为提高托管其恶意软件所在网站的搜索引擎排名,以引诱潜在的受害者。

这并不是Gatekeeper程序中发现的首个漏洞,今年4月初,Apple 迅速修补了一个当时被积极利用的零日漏洞 ( CVE-2021-30657 ),该漏洞可能绕过所有安全保护措施,从而允许未经批准的软件在 Mac 上运行。

之后10 月,微软披露了一个名为“Shrootless” ( CVE-2021-30892 ) 的漏洞,该漏洞可用于执行任意操作,提升 root 权限以及在受感染设备上安装 rootkit。苹果公司表示,对此漏洞已采取额外的限制措施,并在 2021 年 10 月 26 日推送的安全更新中解决了这个问题。

参考来源:https://thehackernews.com/2021/12/expert-details-macos-bug-that-could-let.html

微软发现与Log4j相关的高危漏洞

微软表示,在寻找 Log4j 漏洞时发现了 SolarWinds Serv-U 软件先前未披露的问题。Jonathan Bar Or在 Twitter 上解释说,当他在寻找 Log4j漏洞利用尝试时,他注意到来自 serv-u.exe 的攻击。 仔细观察发现,...
漏洞服务器安全log4j微软

一款高颜值且免费的 SQL 开发工具之Beekeeper Studio详解

目录 beekeeper studio 简介 beekeeper studio 安装 beekeeper studio 使用教程 连接数据库 文件关联 sql 编辑器 表格浏览器 ...
数据库技术SQL开发工具beekeeper

如何恢复linux和windows服务器被误删除文件

服务器是企业和个人重要的存储设备之一,而数据是企业和个人的珍贵财富,一旦服务器出现故障,会导致数据丢失或者受损,对公司或个人造成巨大的损失。因此,服务器备份和恢复数据备受关注。但是,不要太担心,因为有一些方法可以帮助您找回这些文件。那么,服务器恢复数据的方法有...
服务器运维linuxWindows误删除

十款优秀API安全测试工具

应用编程接口已成为攻击者钟爱的目标。本文所列工具和平台(无论商业还是开源)可帮助企业识别错误、漏洞和权限分配过大等问题。应用编程接口(API)是大多数现代程序和应用的关键部分。事实上,云部署和移动应用都非常依赖于API,如果不用API管理遍布各处的组件,云部署...
服务器安全安全工具API安全测试工具