Ciberseguridad

En un reporte de seguridad, Microsoft detalló el hallazgo de una vulnerabilidad crítica en macOS cuya explotación exitosa permitiría a los actores de amenazas evadir el mecanismo System Integrity Protection (SIP) y desplegar toda clase de ataques, como realizar escaladas de privilegios e instalación de rootkits. SIP, también conocida como Rootless, es una función de seguridad en macOS que impide a los usuarios root realizar operaciones que pudieran comprometer la seguridad en el sistema.

Este mecanismo permite que sólo los procesos firmados por Apple modifiquen estas secciones restringidas del sistema. Acorde al reporte, los actores de amenazas podrían crear un archivo especialmente diseñado con el fin de secuestrar el proceso de instalación legítimo.

Microsoft menciona que, al evaluar los procesos de macOS, se detectó el daemon system_installd, que tiene derechos com.apple.rootless.install.inheritable. El acceso a este nivel de derechos, cualquier proceso derivado de system_installd podría evadir las restricciones del sistema de archivos SIP.

La vulnerabilidad, bautizada como Shrootless, fue explotada en un entorno seguro por los investigadores de Microsoft, que lograron anular la lista de exclusión de extensiones de kernel. A continuación se muestran los pasos que integran la prueba de concepto (PoC):

• Descargar un paquete firmado por Apple (usando wget) que se sabe que tiene un script post exploit
• Plantar un /etc/zshenv malicioso que verifique su proceso padre; si es system_installd, entonces escribiría en ubicaciones restringidas
• Invocar la utilidad de instalación para instalar el paquete