微軟Microsoft 365 Defender研究團(tuán)隊(duì)本周指出，編號(hào)CVE-2021-30970、昵稱為powerdir的漏洞，可讓攻擊者繞過(guò)macOS作業(yè)系統(tǒng)防護(hù)機(jī)制而存取隱私資料，或是控制電腦攝影機(jī)、麥克風(fēng)等App的漏洞。

詳 細(xì) 內(nèi) 容

微軟Microsoft 365 Defender研究團(tuán)隊(duì)指出，這項(xiàng)編號(hào)CVE-2021-30970、名稱為powerdir的漏洞，可讓攻擊者繞過(guò)macOS的Transparency Consent and Control(TCC)技術(shù)，非授權(quán)存取使用者的檔案。在微軟通報(bào)下，蘋(píng)果已經(jīng)在去年12月13日發(fā)布安全更新，包括macOS Monterey 12.1及macOS Big Sur 11.6.2予以修補(bǔ)。

所謂TCC是蘋(píng)果于2012年的macOS Mountain Lion加入的防護(hù)子系統(tǒng)，它維護(hù)了儲(chǔ)存用戶明顯同意的App清單或資料庫(kù)。任何macOS App若不在TCC清單中，就會(huì)被拒絕存取用戶敏感資訊。TCC目的在讓用戶設(shè)定App隱私，包括App是否能存取電腦攝影機(jī)、麥克風(fēng)或定位資訊、行事歷或iCloud帳號(hào)等。而為保護(hù)TCC，macOS還加入了禁止非授權(quán)程序碼執(zhí)行的功能，并強(qiáng)制執(zhí)行一項(xiàng)政策，僅允許具有全磁碟存取權(quán)限的App可以存取TCC。

但是微軟新發(fā)現(xiàn)的powerdir漏洞，可讓攻擊者寫(xiě)程序變更目標(biāo)macOS用戶的個(gè)人專屬目錄(home directory)，植入假冒的TCC資料庫(kù)。本漏洞一經(jīng)開(kāi)采，攻擊者即可發(fā)動(dòng)攻擊以存取用戶受保護(hù)的資料，例如劫持mac電腦上安裝的App或是安裝惡意App，再控制電腦上的麥克風(fēng)錄下用戶錄音，截取用戶屏幕上的隱私資料電腦截圖。

微軟也設(shè)計(jì)了概念驗(yàn)證攻擊，利用Directory Services的指令行工具植入假的TCC.db檔并變更個(gè)人專屬目錄。在測(cè)試中，研究人員成功以dsexport 及dsimport等工具繞過(guò)限制，并且修改、變?cè)炷夸浄?wù)(Directory Services)下的用戶檔案，即可繞過(guò)保護(hù)政策而修改TCC。接著它就可以變更所有想要的應(yīng)用程序設(shè)定，包括麥克風(fēng)和相機(jī)程序。

微軟于去年7月發(fā)現(xiàn)這個(gè)漏洞。研究人員Wojciech Reguła 及Csaba Fitzl等人也曾在BlackHat USA上公布類似的發(fā)現(xiàn)，該漏洞被命名為CVE-2020-27937。雖然這項(xiàng)漏洞蘋(píng)果已經(jīng)修補(bǔ)，但由于微軟POC仍然可以開(kāi)采，因此判斷powerdir是新的漏洞。

powerdir也是一年來(lái)第四項(xiàng)TCC繞過(guò)漏洞。同時(shí)這也是微軟三個(gè)月以來(lái)揭露第2項(xiàng)macOS漏洞。去年11月微軟也公布Shrootless漏洞(CVE-2021-30892)，macOS漏洞Shrootless，一旦攻擊者開(kāi)采成功，就能繞過(guò)該作業(yè)系統(tǒng)內(nèi)建的系統(tǒng)完整性保護(hù)機(jī)制(System Integrity Protection，SIP)，進(jìn)而在受害電腦上執(zhí)行任意操作。