Ausnutzung in 10.15 und 11.0 Beta

Die in macOS 10.15 verwendete Objective-C-Laufzeitumgebung ist gegenüber der zuvor beschriebenen Ausnutzungstechnik nicht anfällig, da Kategorien nicht geladen werden, bevor didCallDyldNotifyRegister gesetzt ist, wodurch unsere +initialize-Methode erst nach der Sandbox-Initialisierung aufgerufen wird. map_images wird jedoch weiterhin für unsere Binärdatei aufgerufen, was es ermöglicht, Laufzeitdaten auf unbeabsichtigte Weise zu verändern, sodass wir vor der Sandbox-Initialisierung Code ausführen können. Die vollständige, kommentierte Ausnutzung befindet sich in main.c, aber ich werde hier die grundlegenden Details durchgehen. Wir konstruieren eine Objective-C-Klassenstruktur, deren data-Zeiger auf eine Stelle in libxbc.dylib zeigt. Diese Stelle muss so gewählt werden, dass in flags Bit 31 (RW_REALIZED) gesetzt ist, damit die Laufzeitumgebung nicht versucht, diese ungültige Klasse zu realisieren und abzustürzen, und firstSubclass muss seine Adresse mit der isa einer Klasse teilen, die wir überschreiben möchten. Eine weitere (Meta-)Klasse wird von dieser ungültigen Klasse erben und eine eigene +initialize-Methode bereitstellen. Wir fügen die Unterklasse zu __objc_nlclslist hinzu, damit die Laufzeitumgebung diese Klasse realisiert. Wenn die Laufzeitumgebung unsere Unterklasse realisiert, was vor der Sandbox-Initialisierung geschieht, ruft sie addSubclass für unsere ungültige Oberklasse und Unterklasse auf, wodurch die isa des Opfers durch einen Zeiger auf unsere Unterklasse ersetzt wird und effektiv alle ihre Methoden durch unsere +initialize-Methode ersetzt werden. Wenn unsere +initialize-Methode aufgerufen wird – was vor der Sandbox-Initialisierung geschieht, sofern wir eine geeignete Opferklasse gewählt haben – können wir erneut _libsecinit_initializer-Verweise durch NOPs ersetzen (bedingt oder nicht) und die von uns vorgenommenen Laufzeitänderungen korrigieren, um die Ausführung später ohne Absturz fortzusetzen.

Mitgelieferte Demo

Die mitgelieferte Demo kann erstellt werden, indem man make ausführt, eine Datei unter ~/Documents/SecretDocument.txt anlegt und SnatchBox.app/Contents/MacOS/SnatchBox vom Terminal aus ausführt (Ein Bundle wird erstellt, da es von com.apple.security.app-sandbox verlangt wird, aber es handelt sich weiterhin um ein Befehlszeilenprogramm). Die erstellte Binärdatei ist mit com.apple.security.app-sandbox signiert, was normalerweise den Zugriff auf ~/Documents/SecretDocument.txt verhindern würde (Da sie sich nicht in unserem Container befindet), aber sie kann ihre Daten trotzdem lesen. Aufgrund von Änderungen an der Laufzeitstruktur funktioniert diese Demo unverändert nicht unter macOS 10.14 und früher, aber unter 10.15 und 11.0 (Getestet: 10.15.4, 10.15.7 und 11.0 Beta (20A5354i)). Die beiden Ausnutzungstechniken können kombiniert werden, um beide Laufzeitversionen anzugreifen, aber eine solche Demonstration wird nicht bereitgestellt.

Beispielausführung:

Auswirkungen

Wie bereits erwähnt, ermöglicht dies die Erstellung einer macOS-App-Store-Anwendung, die nicht in einer Sandbox läuft, obwohl sie dazu von der App-Store-Richtlinie verpflichtet ist. Die Sicherheitslücke kann auch in einem Framework verwendet werden, das von ansonsten legitimen App-Store-Anwendungen genutzt werden kann. Schließlich kann sie sogar mit etwas Ähnlichem wie „Xcode Ghost" kombiniert werden, um bösartigen Code, der außerhalb der Sandbox läuft, massenhaft in App-Store-Anwendungen einzuschleusen.

Behebung

Apple behob die Sicherheitslücke während der Beta-Testphase von macOS 11.0, indem ein Aufruf von malloc_size in realizeClassWithoutSwift hinzugefügt wurde. Dies bestätigt, dass eine Klasse, die als realisiert markiert ist (RW_REALIZED, wie unsere gefälschte Klasse), tatsächlich einen gültigen, per malloc allokierten Datenzeiger mit der korrekten Größe (0x20 Bytes) besitzt. Ist dies nicht der Fall, bricht die Laufzeitumgebung mit einer Meldung ähnlich wie realized class 0x100002078 has corrupt data pointer 0x7fff88c00948 ab. Die Behebung wurde auch auf iOS, iPadOS, tvOS und watchOS angewendet; auch wenn diese nicht direkt betroffen waren.