Los investigadores de Trellix han descubierto lo que afirman que es una clase completamente nueva de vulnerabilidad de escalada de privilegios en los dispositivos Apple derivada del infame exploit ForcedEntry utilizado por el desacreditado fabricante israelí de spyware NSO Group para permitir que sus clientes gubernamentales apunten a activistas, periodistas y opositores políticos.
La existencia de ForcedEntry (CVE-2021-30860) fue revelada en septiembre de 2021 por The Citizen Lab, un laboratorio interdisciplinario con sede en la Escuela Munk de Asuntos Globales y Políticas Públicas de la Universidad de Toronto en Canadá, que fue el primero en exponer la mala conducta de NSO antes. ese verano.
Pero ahora, Trellix dice que su equipo de vulnerabilidades del Centro de Investigación Avanzada ha descubierto un grupo de errores en iOS y macOS que eluden las mitigaciones de firma de código reforzadas implementadas por Apple para detener la explotación de ForcedEntry.
Si no se abordan, estas vulnerabilidades, que varían de gravedad media a alta con puntajes CVSS de 5.1 a 7.1, podrían permitir que un actor de amenazas acceda a información confidencial en un dispositivo objetivo, incluidos, entre otros, los mensajes de la víctima, datos de ubicación, historial de llamadas y fotos
En el aviso de divulgación de Trellix, el investigador principal de vulnerabilidades Austin Emmitt dijo que los nuevos errores involucran la herramienta NSPredicate utilizada por los desarrolladores para filtrar el código, en torno a la cual Apple endureció las restricciones a raíz de la pelea ForcedEntry al introducir un protocolo llamado NSPredicateVisitor.
“Estas mitigaciones utilizadas [a] gran lista de denegación para evitar el uso de ciertas clases y métodos que claramente podrían poner en peligro la seguridad”, explicó Emmitt.
“Sin embargo, descubrimos que estas nuevas mitigaciones podrían pasarse por alto. Mediante el uso de métodos que no habían sido restringidos, fue posible vaciar estas listas, habilitando todos los mismos métodos que habían estado disponibles antes. Apple asignó este bypass CVE-2023-23530.
“Aún más significativo, descubrimos que casi todas las implementaciones de NSPredicateVisitor se podían omitir. A este desvío se le asignó CVE-2023-23531. Estas dos técnicas abrieron una amplia gama de vulnerabilidades potenciales que aún estamos explorando”.
Hasta el momento, el equipo ha encontrado múltiples vulnerabilidades dentro de la nueva clase de errores, el primero y más importante de los cuales existe en un proceso diseñado para catalogar datos sobre el comportamiento en los dispositivos de Apple. Si un atacante ha logrado la capacidad de ejecución de código en un proceso con los derechos correctos, podría usar NSPredicate para ejecutar código con todos los privilegios del proceso, obteniendo acceso a los datos de la víctima.
Emmitt y su equipo también encontraron otros problemas que podrían permitir a los atacantes con los privilegios apropiados instalar aplicaciones arbitrarias en el dispositivo de la víctima, acceder y leer información confidencial e incluso borrar el dispositivo de la víctima. En última instancia, todos los nuevos errores tienen un nivel de impacto similar al de ForcedEntry.
Emmitt dijo que las vulnerabilidades constituían una “infracción significativa” de los modelos de seguridad de macOS e iOS, que se basan en aplicaciones individuales que tienen acceso detallado al subconjunto de recursos necesarios y consultan servicios con más privilegios para obtener cualquier otra cosa.
“Los servicios que aceptan argumentos NSPredicate y los verifican con NSPredicateVisitors insuficientes permiten que las aplicaciones maliciosas y el código de explotación superen el aislamiento del proceso y accedan directamente a muchos más recursos de los que deberían permitirse. Estos problemas se solucionaron con macOS 13.2 e iOS 16.3. Nos gustaría agradecer a Apple por trabajar rápidamente con Trellix para solucionar estos problemas”, escribió.
interacción fructífera
El jefe de investigación global del Centro de Investigación de Ciberseguridad de Synopsys, Jonathan Knudsen, dijo que el resultado de las divulgaciones representó una “interacción fructífera” entre los investigadores y Apple, que ha sido criticado anteriormente por su enfoque de las divulgaciones de vulnerabilidades y parches.
“El software debe construirse teniendo en cuenta la seguridad en cada fase, con el objetivo de encontrar y eliminar tantas vulnerabilidades como sea posible. Sin embargo, incluso cuando haces todo bien, algunas vulnerabilidades aún pueden estar presentes en el software lanzado”, dijo.
“Después del lanzamiento, los investigadores de seguridad, tanto benévolos como maliciosos, también pueden descubrir vulnerabilidades. Responder rápidamente a las divulgaciones de seguridad entrantes es de vital importancia. Algunas organizaciones, incluida Apple, alientan a los investigadores de seguridad a enviar problemas al proporcionar incentivos, generalmente llamados recompensas por errores. Reconocer e involucrar a la comunidad de investigación de seguridad es un componente importante de una iniciativa integral de seguridad de software”, dijo.