Các nhà nghiên cứu phát hiện ra lỗ hổng Symlink cho phép bỏ qua TCC trong iOS và macOS
Thông tin chi tiết về lỗ hổng bảo mật hiện đã được vá trong iOS và macOS của Apple đã xuất hiện, nếu khai thác thành công, có thể vượt qua khuôn khổ Minh bạch, Đồng ý và Kiểm soát ( TCC ) và dẫn đến truy cập trái phép vào thông tin nhạy cảm.
Lỗ hổng được theo dõi là CVE-2024-44131 (điểm CVSS: 5.3), nằm trong thành phần FileProvider, theo Apple và đã được giải quyết bằng cách cải thiện xác thực liên kết tượng trưng (symlink) trong iOS 18, iPadOS 18 và macOS Sequoia 15 .
Jamf Threat Labs, đơn vị phát hiện và báo cáo lỗ hổng này, cho biết lỗ hổng TCC có thể bị khai thác bởi một phần mềm độc hại được cài đặt trên hệ thống để lấy cắp dữ liệu nhạy cảm mà người dùng không hề hay biết.
TCC đóng vai trò là biện pháp bảo vệ an ninh quan trọng trong các thiết bị Apple, cung cấp cho người dùng cuối cách cho phép hoặc từ chối yêu cầu từ các ứng dụng truy cập dữ liệu nhạy cảm, chẳng hạn như vị trí GPS, danh bạ, ảnh, v.v.
"Việc bỏ qua TCC này cho phép truy cập trái phép vào các tệp và thư mục, dữ liệu Sức khỏe, micrô hoặc máy ảnh, v.v. mà không cần cảnh báo người dùng", công ty cho biết . "Điều này làm suy yếu lòng tin của người dùng vào tính bảo mật của thiết bị iOS và khiến dữ liệu cá nhân có nguy cơ bị rủi ro".
Về cơ bản, lỗ hổng này cho phép một ứng dụng độc hại chạy ẩn có thể chặn các hành động của người dùng để sao chép hoặc di chuyển tệp trong ứng dụng Tệp và chuyển hướng chúng đến vị trí do họ kiểm soát.
Phương pháp này hoạt động bằng cách lợi dụng các đặc quyền nâng cao của fileproviderd , một daemon xử lý các hoạt động tệp liên quan đến iCloud và các trình quản lý tệp đám mây của bên thứ ba khác, để di chuyển các tệp, sau đó chúng có thể được tải lên máy chủ từ xa.
Jamf cho biết: "Cụ thể, khi người dùng di chuyển hoặc sao chép các tệp hoặc thư mục bằng Files.app trong một thư mục có thể truy cập được bằng ứng dụng độc hại chạy ẩn, kẻ tấn công có thể thao túng các liên kết tượng trưng để đánh lừa ứng dụng Files".
"Phương pháp tấn công liên kết tượng trưng mới đầu tiên sao chép một tệp tin vô hại, cung cấp tín hiệu có thể phát hiện được cho một tiến trình độc hại rằng quá trình sao chép đã bắt đầu. Sau đó, một liên kết tượng trưng được chèn vào sau khi quá trình sao chép đã diễn ra, bỏ qua hiệu quả việc kiểm tra liên kết tượng trưng."
Do đó, kẻ tấn công có thể sử dụng phương pháp này để sao chép, di chuyển hoặc thậm chí xóa nhiều tệp và thư mục khác nhau theo đường dẫn "/var/mobile/Library/Mobile Documents/" để truy cập dữ liệu sao lưu iCloud liên quan đến cả ứng dụng của bên thứ nhất và bên thứ ba và đánh cắp chúng.
Điều quan trọng về lỗ hổng này là nó làm suy yếu hoàn toàn khuôn khổ TCC và không kích hoạt bất kỳ lời nhắc nào cho người dùng. Tuy nhiên, loại dữ liệu có thể truy cập phụ thuộc vào quy trình hệ thống nào đang thực hiện thao tác tệp.
Jamf cho biết: "Mức độ nghiêm trọng của các lỗ hổng này phụ thuộc vào đặc quyền của quy trình mục tiêu". "Điều này cho thấy một lỗ hổng trong việc thực thi kiểm soát truy cập đối với một số loại dữ liệu nhất định, vì không phải tất cả dữ liệu đều có thể được trích xuất mà không có cảnh báo do tình trạng chạy đua này".
"Ví dụ, dữ liệu trong các thư mục được bảo vệ bằng UUID được chỉ định ngẫu nhiên và dữ liệu được truy xuất thông qua các API cụ thể sẽ không bị ảnh hưởng bởi loại tấn công này."
Sự phát triển này diễn ra khi Apple phát hành bản cập nhật cho tất cả phần mềm của mình để khắc phục một số vấn đề, bao gồm bốn lỗi trong WebKit có thể gây hỏng bộ nhớ hoặc sập quy trình, và lỗ hổng logic trong Audio (CVE-2024-54529) có thể cho phép ứng dụng thực thi mã tùy ý với các đặc quyền của hạt nhân.
Nhà sản xuất iPhone cũng vá một lỗi trong Safari (CVE-2024-44246) có thể cho phép một trang web thu thập địa chỉ IP gốc khi thêm nó vào Danh sách đọc trên thiết bị có bật Private Relay. Apple cho biết họ đã khắc phục sự cố bằng cách "cải thiện việc định tuyến các yêu cầu bắt nguồn từ Safari".