Uma nova vulnerabilidade de dia zero foi descoberta em Applesistemas macOS do, que permite que os agentes de ameaças executem código em nome de um legítimo Apple aplicativo. Esta vulnerabilidade específica foi descoberta pela primeira vez no macOS Monterey. Porém, o pesquisador conseguiu replicar a questão em Ventura e Sonoma.
De acordo com os relatórios compartilhados com o Cyber Security News, Apple abordou esta vulnerabilidade atribuindo CVE-2022-48505 com uma gravidade de 5.5 (Médio). No entanto, o pesquisador afirmou que o problema ainda existe no macOS e precisa ser resolvido de acordo.
Documento
Vulnerabilidade “DirtyNIB” do MacOS
Apple usa arquivos NIB para armazenar interfaces de aplicativos. Os arquivos NIB agrupados podem ser trocados, o que não invalida o acesso a esses arquivos, uma vez que o Gatekeeper os verifica.
Inicialmente, um arquivo NIB é criado com uma classe como NSAppleScript, e a propriedade de origem é definida usando atributos de tempo de execução definidos pelo usuário. Além disso, um botão é adicionado e vinculado a Apple Roteiro. Isso também está definido para invocar executeAndReturnError: selector. Como parte da exploração desta vulnerabilidade, o arquivo DirtyNIB é usado.
Para prova de conceito, o aplicativo Pages de propriedade de Apple é direcionado. O aplicativo é copiado para a pasta /tmp e iniciado usando o Gatekeeper. Depois disso, o arquivo NIB é substituído pelo arquivo DirtyNIB, o que aciona a execução do código.
Além disso, esta vulnerabilidade apresentava várias restrições ao migrar para as versões mais recentes do macOS. A restrição de explorar isso no macOS Ventura foi a inclusão do PkgKit, enquanto, no macOS Sonoma, havia novas restrições ao acesso ao conteúdo do pacote de aplicativos.
A relatório completo foi publicado pelo pesquisador de segurança, que fornece informações detalhadas sobre a exploração desta vulnerabilidade, os códigos e as ferramentas utilizadas como parte da pesquisa.
