據(jù)BleepingComputer消息，蘋果最近解決了一個由微軟發(fā)現(xiàn)的macOS系統(tǒng)漏洞，該漏洞允許擁有 root 權限的攻擊者繞過系統(tǒng)完整性保護 (SIP)以安裝不可刪除的惡意軟件，并通過規(guī)避透明度同意和控制 (TCC) 安全檢查來訪問受害者的私人數(shù)據(jù)。

該漏洞被稱為Migraine ，由一組微軟安全研究人員發(fā)現(xiàn)并報告給蘋果，現(xiàn)在被追蹤為CVE-2023-32369。蘋果已在兩周前的 5 月 18 日發(fā)布的macOS Ventura 13.4、macOS Monterey 12.6.6和macOS Big Sur 11.7.7安全更新中修補了該漏洞。

系統(tǒng)完整性保護 (SIP)是一種 macOS 安全機制，可通過對根用戶帳戶及其在操作系統(tǒng)受保護區(qū)域內(nèi)的功能施加限制來防止?jié)撛诘膼阂廛浖哪承┪募A和文件，其運作原則是只有由 Apple 簽名或擁有特殊權限的進程（例如 Apple 軟件更新和安裝程序）才被授權更改受 macOS 保護的組件。

此外，如果不重新啟動系統(tǒng)并啟動 macOS Recovery（內(nèi)置恢復系統(tǒng)），就無法禁用 SIP，這需要對已經(jīng)受損的設備進行物理訪問。

然而，微軟的研究人員發(fā)現(xiàn)，擁有 root 權限的攻擊者可以通過濫用 macOS 遷移助手實用程序來繞過 SIP 安全實施。研究證明，擁有 root 權限的攻擊者可以使用 AppleScript 自動執(zhí)行遷移過程，并在將其添加到 SIP 的排除列表后啟動惡意負載，而無需重新啟動系統(tǒng)和從 macOS Recovery 啟動。

任意繞過 SIP 會帶來重大風險，尤其是在被惡意軟件利用時，包括創(chuàng)建無法通過標準刪除方法刪除的受 SIP 保護的惡意軟件。此外攻擊面也得到擴大，并可能允許攻擊者通過任意內(nèi)核代碼執(zhí)行來篡改系統(tǒng)完整性，并可能安裝 rootkit 以隱藏安全軟件中的惡意進程和文件。

繞過 SIP 保護還可以完全繞過TCC 策略，使威脅行為者能夠替換 TCC 數(shù)據(jù)庫并獲得對受害者私人數(shù)據(jù)的無限制訪問權限。

已非第一次發(fā)現(xiàn)macOS 漏洞

這不是微軟研究人員近年來報告的第一個此類 macOS 漏洞。2021 年，微軟報告了一個名為Shrootless 的 SIP 繞過漏洞，允許攻擊者在受感染的 Mac 上執(zhí)行任意操作，將權限提升為 root，并可能在易受攻擊的設備上安裝 rootkit。

最近，微軟首席安全研究員 Jonathan Bar Or 還發(fā)現(xiàn)了一個名為 Achilles 的安全漏洞，攻擊者可以利用該漏洞繞過 Gatekeeper對不受信任應用的限制，以此來部署惡意軟件。他還發(fā)現(xiàn)了另一個名為powerdir的漏洞，可以讓攻擊者繞過TCC來訪問用戶的受保護數(shù)據(jù)。