CVE-2025-70341: Permisos inseguros + Ejecución de código arbitrario en App-Auto-Patch

Resumen

App-Auto-Patch v3.4.2 crea su directorio de trabajo con permisos de escritura mundial (chmod 777), lo que permite una condición de carrera TOCTOU local. Un atacante local no privilegiado puede explotar esto para intercambiar paquetes verificados por maliciosos antes de la instalación, logrando ejecución de código arbitrario como root. Además, un fragmento de etiqueta maliciosa de Installomator puede lograr ejecución de código arbitrario mediante eval de entrada no saneada durante el análisis de la etiqueta.

Versiones afectadas

• Vulnerable: App-Auto-Patch <= 3.4.2
• Corregido: App-Auto-Patch 3.5.0

CVSS 3.1

Puntuación: 7.8 (Alta)

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Detalles de la vulnerabilidad

Problema 1: Directorio con permisos de escritura mundial (CWE-732)

Archivo: App-Auto-Patch-via-Dialog.zsh, línea 2525

Durante la instalación, appAutoPatchFolder se crea con chmod 777. Esto permite que cualquier usuario local escriba, modifique o elimine archivos en el directorio.

Problema 2: Ejecución de código arbitrario mediante eval (CWE-94)

Archivo: App-Auto-Patch-via-Dialog.zsh, línea 4744

Los fragmentos de etiqueta de Installomator se analizan mediante eval sin saneamiento. Combinado con el directorio de escritura mundial, un atacante puede inyectar un fragmento de etiqueta malicioso que ejecute comandos arbitrarios como root.

Cadena de ataque

1. App-Auto-Patch crea appAutoPatchFolder con chmod 777
2. Installomator descarga el PKG en tmpDir de escritura mundial, verifica la firma
3. ~140 líneas de bash se ejecutan entre la verificación y la instalación (VENTANA DE CARRERA)
4. El atacante intercambia el PKG verificado por un PKG malicioso
5. installer -pkg ejecuta el PKG del atacante como root

Prueba de concepto

Prerrequisitos

• Sistema macOS con App-Auto-Patch <= 3.4.2 (o cualquier versión de Installomator que use chmod 777 en tmpDir)
• Cuenta de usuario local no privilegiada
• Herramientas de línea de comandos de Xcode (para pkgbuild)

Uso

Terminal 1 (como usuario no privilegiado):

python3 poc.py

Terminal 2 (como root, simulando un disparador de MDM/admin):

sudo ./simulate-vulnerable-env.sh

El PoC monitorea /var/tmp en busca de directorios de Installomator creados con chmod 777, luego compite para intercambiar el PKG legítimo por uno malicioso que contiene un script postinstall que se ejecuta como root.

Consulte poc.py y simulate-vulnerable-env.sh para obtener más detalles.

Corrección

• Actualice a App-Auto-Patch 3.5.0 o posterior
• La corrección cambia los permisos del directorio de chmod 777 a chmod 755, rompiendo la cadena de ataque

Cronología

Créditos

• cooldadhacking (GitHub)

Referencias

• PR #202 de App-Auto-Patch
• Problema #203 de App-Auto-Patch
• App-Auto-Patch-via-Dialog.zsh

Descargo de responsabilidad

Esta prueba de concepto se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas. Úsela de manera responsable y solo en sistemas que posea o para los que tenga permiso explícito para probar.