Microsoft ha revelado detalles de una falla de seguridad ahora parcheada en Apple macOS que podría ser aprovechada por un atacante para eludir las protecciones de seguridad impuestas para evitar la ejecución de aplicaciones maliciosas.
La deficiencia, apodada Aquiles (CVE-2022-42821puntaje CVSS: 5.5), fue abordado por el fabricante del iPhone en macOS Ventura 13, Monterrey 12.6.2y Gran Sur 11.7.2describiéndolo como un problema lógico que podría ser armado por una aplicación para eludir los controles de Gatekeeper.
«Las omisiones de Gatekeeper como esta podrían aprovecharse como un vector para el acceso inicial de malware y otras amenazas y podrían ayudar a aumentar la tasa de éxito de campañas y ataques maliciosos en macOS», Jonathan Bar Or del Microsoft 365 Defender Research Team. dijo.
Gatekeeper es un mecanismo de seguridad diseñado para garantizar que solo se ejecuten aplicaciones confiables en el sistema operativo. Esto es forzado mediante un atributo extendido llamado «com.apple.quarantine» que se asigna a los archivos descargados de Internet. Es similar a la bandera Mark of the Web (MotW) en Windows.
Por lo tanto, cuando un usuario desprevenido descarga una aplicación potencialmente dañina que se hace pasar por una pieza de software legítimo, la función Gatekeeper evita que las aplicaciones se ejecuten, ya que Apple no las ha firmado ni certificado de manera válida.
Incluso en los casos en que Apple aprueba una aplicación, a los usuarios se les muestra un aviso cuando se inicia por primera vez para solicitar su consentimiento explícito.
Dado el papel crucial que desempeña Gatekeeper en macOS, es difícil no imaginar las consecuencias de eludir la barrera de seguridad, lo que podría permitir que los actores de amenazas implementen malware en las máquinas.
La vulnerabilidad de Achilles identificada por Microsoft explota un modelo de permisos denominado Listas de control de acceso (ACL) para agregar permisos extremadamente restrictivos a un archivo descargado (es decir, «todos niegan escribir, escribir attr, escribir extattr, escribir seguridad, chown»), lo que impide que Safari establezca el atributo extendido de cuarentena.
En un escenario de ataque hipotético, un adversario podría adoptar la técnica para crear una aplicación maliciosa y alojarla en un servidor, que luego podría entregarse a un posible objetivo a través de ingeniería social, anuncios maliciosos o un abrevadero.
El método también elude el recién introducido de Apple Modo de bloqueo en macOS Ventura, una configuración restrictiva opcional para contrarrestar los exploits sin clic, que requiere que los usuarios apliquen las últimas actualizaciones para mitigar las amenazas.
«Las aplicaciones falsas siguen siendo uno de los principales vectores de entrada en macOS, lo que indica que las técnicas de omisión de Gatekeeper son una capacidad atractiva e incluso necesaria para que los adversarios aprovechen los ataques», dijo Bar Or.