據(jù)BleepingComputer消息，蘋果最近解決了一個(gè)由微軟發(fā)現(xiàn)的macOS系統(tǒng)漏洞，該漏洞允許擁有 root 權(quán)限的攻擊者繞過系統(tǒng)完整性保護(hù) (SIP)以安裝不可刪除的惡意軟件，并通過規(guī)避透明度同意和控制 (TCC) 安全檢查來訪問受害者的私人數(shù)據(jù)。

該漏洞被稱為Migraine ，由一組微軟安全研究人員發(fā)現(xiàn)并報(bào)告給蘋果，現(xiàn)在被追蹤為CVE-2023-32369。蘋果已在兩周前的 5 月 18 日發(fā)布的macOS Ventura 13.4、macOS Monterey 12.6.6和macOS Big Sur 11.7.7安全更新中修補(bǔ)了該漏洞。

系統(tǒng)完整性保護(hù) (SIP)是一種 macOS 安全機(jī)制，可通過對(duì)根用戶帳戶及其在操作系統(tǒng)受保護(hù)區(qū)域內(nèi)的功能施加限制來防止?jié)撛诘膼阂廛浖哪承┪募A和文件，其運(yùn)作原則是只有由 Apple 簽名或擁有特殊權(quán)限的進(jìn)程（例如 Apple 軟件更新和安裝程序）才被授權(quán)更改受 macOS 保護(hù)的組件。

此外，如果不重新啟動(dòng)系統(tǒng)并啟動(dòng) macOS Recovery（內(nèi)置恢復(fù)系統(tǒng)），就無法禁用 SIP，這需要對(duì)已經(jīng)受損的設(shè)備進(jìn)行物理訪問。

然而，微軟的研究人員發(fā)現(xiàn)，擁有 root 權(quán)限的攻擊者可以通過濫用 macOS 遷移助手實(shí)用程序來繞過 SIP 安全實(shí)施。研究證明，擁有 root 權(quán)限的攻擊者可以使用 AppleScript 自動(dòng)執(zhí)行遷移過程，并在將其添加到 SIP 的排除列表后啟動(dòng)惡意負(fù)載，而無需重新啟動(dòng)系統(tǒng)和從 macOS Recovery 啟動(dòng)。

任意繞過 SIP 會(huì)帶來重大風(fēng)險(xiǎn)，尤其是在被惡意軟件利用時(shí)，包括創(chuàng)建無法通過標(biāo)準(zhǔn)刪除方法刪除的受 SIP 保護(hù)的惡意軟件。此外攻擊面也得到擴(kuò)大，并可能允許攻擊者通過任意內(nèi)核代碼執(zhí)行來篡改系統(tǒng)完整性，并可能安裝 rootkit 以隱藏安全軟件中的惡意進(jìn)程和文件。

繞過 SIP 保護(hù)還可以完全繞過TCC 策略，使威脅行為者能夠替換 TCC 數(shù)據(jù)庫并獲得對(duì)受害者私人數(shù)據(jù)的無限制訪問權(quán)限。

已非第一次發(fā)現(xiàn)macOS 漏洞

這不是微軟研究人員近年來報(bào)告的第一個(gè)此類 macOS 漏洞。2021 年，微軟報(bào)告了一個(gè)名為Shrootless 的 SIP 繞過漏洞，允許攻擊者在受感染的 Mac 上執(zhí)行任意操作，將權(quán)限提升為 root，并可能在易受攻擊的設(shè)備上安裝 rootkit。

最近，微軟首席安全研究員 Jonathan Bar Or 還發(fā)現(xiàn)了一個(gè)名為 Achilles 的安全漏洞，攻擊者可以利用該漏洞繞過 Gatekeeper對(duì)不受信任應(yīng)用的限制，以此來部署惡意軟件。他還發(fā)現(xiàn)了另一個(gè)名為powerdir的漏洞，可以讓攻擊者繞過TCC來訪問用戶的受保護(hù)數(shù)據(jù)。