Các nhà nghiên cứu phát hiện ra lỗ hổng Symlink cho phép bỏ qua TCC trong iOS và macOS

Các nhà nghiên cứu phát hiện ra lỗ hổng Symlink cho phép bỏ qua TCC trong iOS và macOS

Đã xuất hiện thông tin chi tiết về lỗ hổng bảo mật hiện đã được vá trong iOS và macOS của Apple, nếu khai thác thành công, có thể vượt qua khuôn khổ Minh bạch, Đồng ý và Kiểm soát (TCC) và dẫn đến truy cập trái phép vào thông tin nhạy cảm.

Lỗ hổng, được theo dõi là CVE-2024-44131 (điểm CVSS: 5.3), nằm trong thành phần FileProvider, theo Apple, và đã được giải quyết bằng cách xác thực liên kết tượng trưng (symlink) được cải thiện trong iOS 18, iPadOS 18 và macOS Sequoia 15.

Đơn vị phát hiện và báo cáo lỗ hổng, cho biết lỗ hổng bỏ qua TCC có thể bị khai thác bởi một kẻ gian được cài đặt trên hệ thống để lấy dữ liệu nhạy cảm mà người dùng không hề hay biết.

TCC đóng vai trò là biện pháp bảo vệ bảo mật quan trọng trong các thiết bị của Apple, cung cấp cho người dùng cuối một cách để cho phép hoặc từ chối yêu cầu từ các ứng dụng truy cập dữ liệu nhạy cảm, chẳng hạn như vị trí GPS, danh bạ và ảnh, cùng nhiều dữ liệu khác.

"Việc bỏ qua TCC này cho phép truy cập trái phép vào các tệp và thư mục, dữ liệu Sức khỏe, micrô hoặc máy ảnh, v.v. mà không cần cảnh báo người dùng", công ty cho biết. "Điều này làm suy yếu lòng tin của người dùng vào tính bảo mật của thiết bị iOS và khiến dữ liệu cá nhân có nguy cơ bị rủi ro".

Về cơ bản, lỗ hổng này cho phép một ứng dụng độc hại chạy trong nền chặn các hành động do người dùng thực hiện để sao chép hoặc di chuyển các tệp trong ứng dụng Tệp và chuyển hướng chúng đến vị trí do họ kiểm soát.

Việc chiếm đoạt này hoạt động bằng cách tận dụng các đặc quyền nâng cao của fileproviderd, một daemon xử lý các hoạt động tệp liên quan đến iCloud và các trình quản lý tệp đám mây của bên thứ ba khác, để di chuyển các tệp, sau đó chúng có thể được tải lên máy chủ từ xa.

"Cụ thể, khi người dùng di chuyển hoặc sao chép các tệp hoặc thư mục bằng Files.app trong một thư mục có thể truy cập được bằng ứng dụng độc hại chạy trong nền, kẻ tấn công có thể thao túng các liên kết tượng trưng để đánh lừa ứng dụng Tệp", Jamf cho biết.

"Phương pháp tấn công liên kết tượng trưng mới đầu tiên sao chép một tệp vô hại, cung cấp tín hiệu có thể phát hiện được cho một quy trình độc hại rằng quá trình sao chép đã bắt đầu. Sau đó, một liên kết tượng trưng được chèn vào sau khi quá trình sao chép đã diễn ra, bỏ qua hiệu quả kiểm tra liên kết tượng trưng".

Do đó, kẻ tấn công có thể sử dụng phương pháp này để sao chép, di chuyển hoặc thậm chí xóa nhiều tệp và thư mục khác nhau theo đường dẫn "/var/mobile/Library/Mobile Documents/" để truy cập dữ liệu sao lưu iCloud liên kết với cả ứng dụng của bên thứ nhất và bên thứ ba và đánh cắp chúng.

Điểm quan trọng của lỗ hổng này là nó hoàn toàn làm suy yếu khuôn khổ TCC và không kích hoạt bất kỳ lời nhắc nào cho người dùng. Tuy nhiên, loại dữ liệu có thể truy cập phụ thuộc vào quy trình hệ thống nào đang thực thi thao tác tệp.

"Mức độ nghiêm trọng của các lỗ hổng này phụ thuộc vào đặc quyền của quy trình mục tiêu", Jamf cho biết. "Điều này cho thấy một lỗ hổng trong việc thực thi kiểm soát truy cập đối với một số loại dữ liệu nhất định, vì không phải tất cả dữ liệu đều có thể được trích xuất mà không có cảnh báo do tình trạng chạy đua này".

"Ví dụ, dữ liệu trong các thư mục được bảo vệ bằng UUID được chỉ định ngẫu nhiên và dữ liệu được truy xuất thông qua các API cụ thể vẫn không bị ảnh hưởng bởi loại tấn công này".

Sự phát triển này diễn ra khi Apple phát hành các bản cập nhật cho tất cả phần mềm của mình để khắc phục một số sự cố, bao gồm bốn lỗi trong WebKit có thể dẫn đến hỏng bộ nhớ hoặc sập quy trình và lỗ hổng logic trong Audio (CVE-2024-54529) có thể cho phép ứng dụng thực thi mã tùy ý với các đặc quyền của hạt nhân.

Nhà sản xuất iPhone cũng vá một lỗi trong Safari (CVE-2024-44246) có thể cho phép một trang web thu thập địa chỉ IP gốc khi thêm địa chỉ đó vào Danh sách đọc trên thiết bị có bật Private Relay. Apple cho biết họ đã khắc phục sự cố bằng cách "cải thiện việc định tuyến các yêu cầu bắt nguồn từ Safari".

Hương – Theo TheHackerNews