CVE-2025-70341: Unsichere Berechtigungen + beliebige Codeausführung in App-Auto-Patch

Zusammenfassung

App-Auto-Patch v3.4.2 erstellt sein Arbeitsverzeichnis mit weltweit beschreibbaren Berechtigungen (chmod 777), was eine lokale TOCTOU-Wettlaufbedingung (Time-of-Check-to-Time-of-Use) ermöglicht. Ein nicht privilegierter lokaler Angreifer kann dies ausnutzen, um verifizierte Pakete vor der Installation durch bösartige auszutauschen und so beliebige Codeausführung als root zu erreichen. Darüber hinaus kann ein bösartiges Installomator-Label-Fragment durch eval nicht bereinigter Eingaben während der Label-Analyse beliebige Codeausführung erreichen.

Betroffene Versionen

• Verwundbar: App-Auto-Patch <= 3.4.2
• Behoben: App-Auto-Patch 3.5.0

CVSS 3.1

Wert: 7.8 (Hoch)

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Details zur Schwachstelle

Problem 1: Weltweit beschreibbares Verzeichnis (CWE-732)

Datei: App-Auto-Patch-via-Dialog.zsh, Zeile 2525

Während der Installation wird appAutoPatchFolder mit chmod 777 erstellt. Dies ermöglicht jedem lokalen Benutzer, Dateien im Verzeichnis zu schreiben, zu ändern oder zu löschen.

Problem 2: Beliebige Codeausführung via eval (CWE-94)

Datei: App-Auto-Patch-via-Dialog.zsh, Zeile 4744

Installomator-Label-Fragmente werden ohne Bereinigung mittels eval analysiert. In Kombination mit dem weltweit beschreibbaren Verzeichnis kann ein Angreifer ein bösartiges Label-Fragment injizieren, das beliebige Befehle als root ausführt.

Angriffskette

1. App-Auto-Patch erstellt appAutoPatchFolder mit chmod 777
2. Installomator lädt PKG in weltweit beschreibbares tmpDir herunter, verifiziert Signatur
3. ~140 Zeilen Bash werden zwischen Verifizierung und Installation ausgeführt (WETTLAUF-FENSTER)
4. Angreifer tauscht verifiziertes PKG gegen bösartiges PKG aus
5. installer -pkg führt das PKG des Angreifers als root aus

Proof of Concept

Voraussetzungen

• macOS-System mit App-Auto-Patch <= 3.4.2 (oder einer beliebigen Installomator-Version, die chmod 777 tmpDir verwendet)
• Nicht privilegiertes lokales Benutzerkonto
• Xcode-Kommandozeilentools (für pkgbuild)

Verwendung

Terminal 1 (als nicht privilegierter Benutzer):

python3 poc.py

Terminal 2 (als root, simuliert MDM/Admin-Trigger):

sudo ./simulate-vulnerable-env.sh

Der PoC überwacht /var/tmp auf Installomator-Verzeichnisse, die mit chmod 777 erstellt wurden, und versucht dann, das legitime PKG gegen ein bösartiges mit einem Postinstall-Skript auszutauschen, das als root ausgeführt wird.

Siehe poc.py und simulate-vulnerable-env.sh für vollständige Details.

Abhilfe

• Upgrade auf App-Auto-Patch 3.5.0 oder höher
• Der Fix ändert die Verzeichnisberechtigungen von chmod 777 auf chmod 755 und unterbricht damit die Angriffskette

Zeitplan

Danksagung

• cooldadhacking (GitHub)

Referenzen

• App-Auto-Patch PR #202
• App-Auto-Patch Issue #203
• App-Auto-Patch-via-Dialog.zsh

Haftungsausschluss

Dieses Proof of Concept dient ausschließlich zu Bildungs- und autorisierten Sicherheitstestzwecken. Verwenden Sie es verantwortungsvoll und nur auf Systemen, die Ihnen gehören oder für die Sie ausdrücklich die Erlaubnis zum Testen haben.