Według doniesień, kilka aplikacji firmy Microsoft zaprojektowanych specjalnie dla systemu operacyjnego Apple macOS jest narażonych na ataki ze strony złośliwych podmiotów. badania opublikowane przez Cisco Talos.
Francesco Benvenuto, badacz Talos, odkrył osiem luk w powszechnie używanych aplikacjach firmy Microsoft, w tym Excel, OneNote, Outlook, PowerPoint, Teams i Word.
Gdyby luki zostały wykorzystane, atakujący mogliby wykorzystać ustawienia uprawnień Apple’a, wstrzyknąć złośliwe biblioteki do podatnych aplikacji i przejąć kontrolę nad ich uprawnieniami i uprawnieniami użytkownika.
„Uprawnienia regulują, czy aplikacja może uzyskać dostęp do zasobów, takich jak mikrofon, kamera, foldery, nagrywanie ekranu, dane wprowadzane przez użytkownika i inne. Tak więc, jeśli przeciwnik uzyskałby do nich dostęp, mógłby potencjalnie ujawnić poufne informacje lub, w najgorszym przypadku, eskalować uprawnienia” – napisał Benvenuto.
Jak to działa
Zakres problemu zależy od tego, jak macOS obsługuje uprawnienia aplikacji innych firm. Zazwyczaj systemy operacyjne opierają te zasady na zasadach dyskrecjonalna kontrola dostępu (DAC), ale zapewnia ono bardzo ograniczoną ochronę przed podatnym na ataki oprogramowaniem lub złośliwym oprogramowaniem uruchamianym z uprawnieniami użytkownika lub roota.
Apple idzie więc dalej, zabezpieczając dostęp do niektórych zasobów za pomocą mechanizm o nazwie Przejrzystość, Zgoda i Kontrola (TCC), który wymaga, aby aplikacje uzyskiwały wyraźną zgodę człowieka przed uzyskaniem dostępu do chronionych rzeczy, takich jak mikrofon, kamera itp.
Ten mechanizm zgody ukazuje się użytkownikowi jako wyskakujące okienko, które będzie znane większości posiadaczy komputerów Mac. Ta decyzja jest następnie rejestrowana do wykorzystania w przyszłości i może być zmieniona za pomocą ustawień prywatności i bezpieczeństwa urządzenia w przyszłości, jeśli zajdzie taka potrzeba.
Teraz macOS zawiera również przepisy mające na celu zatrzymanie wstrzykiwania kodu, wymagając od aplikacji dystrybuowanych za pośrednictwem App Store przejścia do piaskownicy, która ogranicza dostęp do zasobów, o które aplikacja wyraźnie prosi za pośrednictwem uprawnień – niektóre z nich są dodatkowo regulowane przez wyskakujące okienko z prośbą o zgodę użytkownika.
Na przykład, jak wyjaśnił Benvenuto, prawidłowo sandboxowana aplikacja poprosi o dostęp do kamery tylko wtedy, gdy ma uprawnienie do kamery ustawione na „true”. Jeśli takie uprawnienie nie jest obecne, nie zostanie ono przyznane, a użytkownik nigdy nie zobaczy wyskakującego okienka.
Poświadczone aplikacje, czyli te, które zostały sprawdzone przez skanery Apple pod kątem podejrzanych komponentów, muszą również mieć włączony wzmocniony czas wykonania, aby były bardziej odporne na wstrzyknięcie kodu.
Te aplikacje, które obejmują wszystkie aplikacje Microsoftu w zakresie badań, które mogą wymagać wykonania bardziej ryzykownych działań, takich jak załadowanie niezaufanej biblioteki, muszą zadeklarować tę intencję za pośrednictwem swoich uprawnień. W tym przypadku ich twórcy muszą ustawić uprawnienie do wyłączania walidacji biblioteki na „prawda”.
Wszystkie te funkcje mają ze sobą współdziałać, aby zapewnić użytkownikom komputerów Mac zwiększoną ochronę. Jeśli jednak atakujący zdoła wstrzyknąć bibliotekę złośliwego kodu do przestrzeni procesowej uruchomionej aplikacji, wspomniana biblioteka będzie mogła wykorzystać wszystkie uprawnienia, jakie zostały jej przyznane.
Jak wykazały badania, aplikacje firmy Microsoft stają się podatne na ataki, jeśli załadują bibliotekę, którą atakujący przejął nad nią kontrolę.
Odpowiedzialne obchodzenie się
Benvenuto powiedział, że aby model Apple był naprawdę skuteczny – i bezpieczny – opiera się na odpowiedzialnym zarządzaniu uprawnieniami przez aplikacje.
„MacOS ufa aplikacjom, że same będą kontrolować swoje uprawnienia. Niewypełnienie tej odpowiedzialności prowadzi do naruszenia całego modelu uprawnień, a aplikacje nieumyślnie działają jako proxy dla nieautoryzowanych działań, omijając TCC i naruszając model bezpieczeństwa systemu. Podkreśla to znaczenie wdrażania przez aplikacje solidnych środków bezpieczeństwa, aby uniknąć stania się wektorami eksploatacji”.
Benvenuto stwierdził, że aplikacje Microsoftu wydają się używać uprawnień do walidacji bibliotek, aby obsługiwać wtyczki, co powinno oznaczać wtyczki podpisane przez zewnętrznych programistów, ale w tym przypadku wydaje się, że odnosi się to tylko do własnych dodatków do pakietu Office firmy Microsoft. Powiedział, że to wywołało dalsze pytania o to, dlaczego Microsoft w ogóle musiał wyłączyć walidację bibliotek, skoro nie oczekuje się pojawienia się żadnych zewnętrznych bibliotek.
„Korzystając z tego uprawnienia, Microsoft obchodzi zabezpieczenia oferowane przez wzmocnione środowisko wykonawcze, potencjalnie narażając swoich użytkowników na niepotrzebne ryzyko” – napisał.
Osiem luk w zabezpieczeniach
Problemom opisanym przez zespół Cisco Talos przypisano następujące oznaczenia:
- CVE-2024-39804 w programie Microsoft PowerPoint;
- CVE-2024-41138 w aplikacji Microsoft Teams (w pracy lub szkole) com.microsoft.teams2.modulehost.app;
- CVE-2024-41145 w aplikacji pomocniczej WebView.app w usłudze Microsoft Teams (w pracy lub szkole);
- CVE-2024-41159 w programie Microsoft OneNote;
- CVE-2024-41165 w programie Microsoft Word;
- CVE-2024-42004 w Microsoft Teams (w pracy lub szkole);
- CVE-2024-42220 w programie Microsoft Outlook;
- Oraz CVE-2024-43106 w programie Microsoft Excel.
Według Benvenuto, Microsoft oświadczył, że uważa te problemy za mało ryzykowne i rzekomo odmówił rozwiązania niektórych z nich, ponieważ aplikacje muszą zezwalać na ładowanie niepodpisanych bibliotek, aby obsługiwać dodatki pakietu Office.
W chwili pisania tego tekstu zarówno Teams, jak i OneNote usunięto problematyczne uprawnienie i nie są już podatne na wykorzystanie. Pozostałe pozostają zagrożone.