Фахівці Microsoft заявили, що зловмисники можуть використовувати уразливість macOS, щоб обійти технологію Transparency, Consent, and Control (TCC) і отримати доступ до захищених даних користувача.
Дослідницька група повідомила розробникам Apple про вразливість, що отримала назву Powerdir (CVE-2021-30970). Баг пов’язаний з технологією TCC, яка призначена для блокування доступу застосунків до конфіденційних даних користувача. Це дозволяє користувачам macOS налаштовувати параметри конфіденційності для програм та пристроїв, підключених до комп’ютерів Mac, включаючи камери та мікрофони.
Хоча Apple обмежила доступ до TCC (тільки для програм з повним доступом до диска) і налаштувала функції для автоматичного блокування неавторизованого виконання коду, дослідники Microsoft виявили, що зловмисники можуть впровадити в систему другу спеціально створену БД TCC, яка дозволить їм отримати доступ до захищеної інформації.
Річ у тому, що TCC підтримує два типи баз даних – один для дозволів, які застосовуються до певного профілю користувача, а інший – для дозволів, що застосовуються глобально, в масштабах усієї системи, захищені за допомогою System Integrity Protection (SIP) і доступні тільки для програм з повним доступом до диска.
«Ми виявили, що можна програмно змінити домашній каталог цільового користувача та впровадити підроблену базу даних TCC, у якій зберігається історія згоди на запити застосунків, – розповідають експерти. — У разі використання цієї вразливості, зловмисник теоретично може організувати атаку, засновану на захищених особистих даних користувача. Наприклад, атакуючий може зламати програму, встановлену на пристрої (або встановити власну шкідливу програму), отримавши доступ до мікрофона, щоб записувати приватні розмови або робити скріншоти конфіденційної інформації, що відображається на екрані».
Фактично користувач з повним доступом до диска може знайти файл TCC.db, який є базою даних SQLITE, переглянути його і навіть відредагувати. Таким чином, зловмисник з повним доступом до баз TCC може давати довільні дозволи своїм шкідливим програмам, про що користувач навіть не дізнається.
CVE-2021-30970 стала вже третьою проблемою обходу TCC. Раніше, у 2021 році Apple усунула баги CVE-2020-9934 і CVE-2020-27937, а також вразливість нульового дня CVE-2021-30713, яка теж дозволяла зловмиснику отримати повний доступ до диска, записувати дані з екрана та інш.
Apple виправила ці проблеми, випустивши macOS 11.6 та 12.1.
Читайте також:
- Розробники заробили в Apple App Store понад $260 млрд
- Браузер Microsoft Edge виявлятиме витоки пам’яті