Descoberta vulnerabilidade gatekeeper bypass no macOS

A Microsoft partilhou detalhes sobre a CVE-2022-42821, uma nova vulnerabilidade Gatekeeper bypass encontrada no macOS Ventura, Monterey e Big Sur. A falha pode ser explorada para contornar os controlos Gatekeeper, potencialmente permitindo que os cibercriminosos executem código malicioso em sistemas vulneráveis. 

“Os bypasses Gatekeeper podem ser alavancados como um vetor para o acesso inicial por malware e outras ameaças e podem ajudar a aumentar a taxa de sucesso de campanhas maliciosas e ataques a macOS”, disse a Microsoft.

No macOS, os ficheiros descarregados da Internet são atribuídos ao atributo com.apple.quarantine, utilizado para impor políticas de segurança, incluindo restrições de execução de aplicações Gatekeeper ou mitigações que impedem a fuga de sandbox. Os utilizadores são obrigados a fornecer consentimento para o lançamento de uma aplicação descarregada que seja validamente assinada e registada ou sejam informados de que a aplicação não pode ser executada, caso a app não seja confiável. O atributo contém informações sobre a origem do ficheiro e detalhes sobre como o Gatekeeper deve lidar com ele, incluindo restrições, caso sejam necessárias. 

Para permitir a transferência de metadados entre sistemas operativos, a Apple introduziu um mecanismo chamado AppleDouble, que guarda os metadados num novo ficheiro, junto do original. Quando os ficheiros são restaurados a partir de um arquivo, o macOS processa ficheirs AppleDouble e atribui os metadados em conformidade.

Assim, ao analisar os vários mecanismos que a Apple implementou para alargar o modelo de permissão tradicional, a Microsoft descobriu que era possível tirar proveito das Access Control Lists (ACL) para contornar o Gatekeeper. “Notámos que o modo de Lockdown da Apple, introduzido no macOS Ventura como uma funcionalidade de proteção opcional para utilizadores de alto risco que podem ser pessoalmente alvo de um sofisticado ciberataque, tem como objetivo impedir explorações de execução remota de código de ‘zero-click’ e, portanto, não se defende contra Aquiles”, diz a Microsoft.

A Apple abordou a vulnerabilidade com o lançamento do macOS Ventura 13 em outubro, e do macOS Monterey 12.6.2 e do macOS Big Sur 11.7.2 em dezembro.