Новая дыра в macOS: libAppleArchive позволяет обойти Gatekeeper

Новая дыра в macOS: libAppleArchive позволяет обойти Gatekeeper

Новая дыра в macOS: libAppleArchive позволяет обойти Gatekeeper

Apple снова попала в новости из-за уязвимости — на этот раз в своей библиотеке libAppleArchive, которая используется для работы с архивами .aar. Исследователь Снулли Кеффабер нашёл критическую брешь (CVE-2024-27876, CVSS 8.1), позволяющую не только записывать файлы в произвольные места на диске, но и обходить защиту Gatekeeper.

Всё началось с того, что Кеффабер написал собственный парсер — libNeoAppleArchive — чтобы изучить поведение Apple Archive на Linux.

Работая с логикой обработки симлинков, он заметил странность: архив можно было распаковать так, что один из файлов на выходе оказывался… симлинком в любую другую директорию на системе.

Дальнейшие эксперименты показали, что во время распаковки возникает «состояние гонки» (race condition). Библиотека сначала проверяет, существует ли нужная папка, и только потом пытается её создать.

Если в этот момент подложить симлинк на другую директорию, libAppleArchive всё равно будет считать, что каталог создан, и продолжит писать туда файлы. В результате данные попадут по адресу, на который указывает симлинк — полностью под контролем атакующего.

Повторив структуру из симлинков и файлов в архиве несколько раз, Кеффаберу удалось сильно повысить процент успеха атаки.

На этом он не остановился: следующей целью стал обход Gatekeeper. Оказалось, что стандартная утилита Archive Utility сначала распаковывает файлы во временную директорию, а только потом вешает на них карантинные метки. Если с помощью уязвимости заставить libAppleArchive распаковать файл вне этой директории, он обойдёт карантин и сможет запускаться без предупреждений — что, конечно, опасно.

Уязвимость затрагивает не только macOS. libAppleArchive используется в WorkflowKit (Shortcuts), FlexMusicKit, ClipServices, а также в приложении «Файлы» на iOS, которое тоже умеет распаковывать .aar. Даже если включены проверки пути вроде pathIsValid(), гонка всё равно позволяет их обойти.

Кеффабер опубликовал PoC, продемонстрировав, что атака вполне реалистична, хотя и требует знания таких деталей, как переменная $TMPDIR.

Apple уже закрыла дыру в свежих апдейтах, так что срочно обновляйтесь — уязвимость серьёзная, а эксплойт уже в сети.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Фейковые сайты под Poizon обманывают покупателей в России

Китайский маркетплейс Poizon официально вышел на российский рынок, и этим тут же воспользовались мошенники. В июне специалисты BI.ZONE зафиксировали появление более 20 фейковых сайтов, которые внешне копируют оригинал.

Схема старая: пользователь заходит на такой сайт, делает заказ, оплачивает покупку — и остаётся ни с чем. Товар не приходит, деньги пропадают.

Иногда злоумышленники действуют хитрее. Сначала они размещают товар на настоящем маркетплейсе. Человек оформляет заказ, получает уведомление об отмене, а на следующий день — «извинения» по почте и ссылку на якобы «выгодную покупку» на другом сайте. Эта ссылка ведёт на фишинговую страницу, где у жертвы уже крадут деньги или данные.

BI.ZONE советует быть внимательными:

  • проверяйте адрес сайта — у фейков часто бывают странные домены, лишние символы или ошибки;
  • не переходите по ссылкам из писем или мессенджеров, особенно если вас уговаривают купить что-то срочно и «со скидкой»;
  • смотрите, есть ли у продавца отзывы и как давно он зарегистрирован.

По словам BI.ZONE, мошенничество с маркетплейсами и досками объявлений входит в топ-3 самых распространённых схем. Только за 2024 год эксперты обнаружили более 20 тысяч подобных случаев.

Ажиотаж вокруг Poizon вполне понятен — в прошлом году он стал лидером среди зарубежных площадок по числу заказов из России. Но на фоне этого интереса не стоит терять бдительность — мошенники не дремлют.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru