Phát hành PoC cho lỗ hổng leo thang đặc quyền trên MacOS

[tathoa0607]

Một nhà nghiên cứu đã công bố mã khai thác (PoC) của lỗ hổng CVE-2023-42942 có thể cho phép kẻ tấn công leo thang đặc quyền root ở phiên bản macOS Sonoma.

Nguyên nhân tồn tại lỗ hổng là do “race condition” (điều kiện tương tranh - xảy ra khi nhiều threads cùng truy cập và cùng lúc muốn thay đổi dữ liệu) trong xpcroleaccountd, một dịch vụ hệ thống không thể thiếu trong cơ sở hạ tầng bảo mật của macOS.

Việc khai thác lỗ hổng là một quy trình gồm nhiều bước:

1. Thiết lập: Kẻ tấn công chuẩn bị một gói dịch vụ XPC được tạo và ký bởi Apple, làm cho nó trông giống như một phần mềm hợp lệ. Nhưng gói này đã được chỉnh sửa để chứa mã độc. Gói dịch vụ này sau đó được đặt vào một thư mục tạm thời trên hệ thống.

2. Kích hoạt: Kẻ tấn công gửi một tin nhắn XPC trống đến gói dịch vụ XPC đã được tạo trong bước 1. Tin nhắn này khởi chạy race condition trong dịch vụ xpcroleaccountd.

3. Chèn mã: Ngay trước khi gọi một API quan trọng (copyfile), gói độc hại được thay thế bằng một liên kết tượng trưng (symbolic link) trỏ đến một tệp tin khác mà kẻ tấn công kiểm soát.

4. Xác minh: Tệp được thay thế vượt qua kiểm tra chữ ký của Apple bằng cách giả mạo thông tin xác minh, làm cho nó trông giống như một tệp tin hợp lệ đã được ký bởi Apple. Điều này đánh lừa hệ thống và cho phép tệp tin độc hại được chấp nhận và tiếp tục thực thi.

5. Khai thác: Mã độc trong tệp tin độc hại được thực thi với quyền root, cho phép kẻ tấn công có thể toàn quyền kiểm soát hệ thống của người dung mục tiêu.

Việc chiếm quyền root trên hệ điều hành macOS rất nguy hiểm và có thể dẫn đến các hậu quả sau:

• Thay đổi tùy ý các tệp và cấu hình của hệ thống.
• Cài đặt các phần mềm độc hại hoặc backdoor.
• Theo dõi và thu thập dữ liệu nhạy cảm của người dùng.
• Hoàn toàn kiểm soát máy tính bị xâm nhập.

Hiện lỗ hổng đã được giải quyết trong phiên bản macOS Sonoma mới nhất nên người dùng cần cập nhật ngay để tránh rủi ro.

Theo: Securityonline.info​