CVE-2025-70341: App-Auto-Patch における安全でないパーミッションと任意のコード実行

概要

App-Auto-Patch v3.4.2 は、作業ディレクトリを全ユーザー書き込み可能なパーミッション（chmod 777）で作成するため、ローカルの TOCTOU（time-of-check-time-of-use）レースコンディションが発生します。特権のないローカル攻撃者はこれを悪用して、検証済みパッケージをインストール前に悪意のあるパッケージにすり替え、root として任意のコードを実行できます。さらに、悪意のある Installomator ラベルフラグメントは、ラベル解析中にサニタイズされていない入力の eval を介して任意のコード実行を達成できます。

影響を受けるバージョン

• 影響を受けるバージョン: App-Auto-Patch <= 3.4.2
• 修正済みバージョン: App-Auto-Patch 3.5.0

CVSS 3.1

スコア: 7.8（高）

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

脆弱性の詳細

問題 1: 全ユーザー書き込み可能なディレクトリ（CWE-732）

ファイル: App-Auto-Patch-via-Dialog.zsh、2525行目

インストール中に appAutoPatchFolder が chmod 777 で作成されます。これにより、ローカルの任意のユーザーがディレクトリ内のファイルを書き込み、変更、削除できるようになります。

問題 2: eval による任意のコード実行（CWE-94）

ファイル: App-Auto-Patch-via-Dialog.zsh、4744行目

Installomator ラベルフラグメントは、サニタイズなしで eval を使用して解析されます。全ユーザー書き込み可能なディレクトリと組み合わせることで、攻撃者は root として任意のコマンドを実行する悪意のあるラベルフラグメントを注入できます。

攻撃チェーン

1. App-Auto-Patch creates appAutoPatchFolder with chmod 777
2. Installomator downloads PKG to world-writable tmpDir, verifies signature
3. ~140 lines of bash execute between verification and installation (RACE WINDOW)
4. Attacker swaps verified PKG with malicious PKG
5. installer -pkg runs attacker's PKG as root

PoC（概念実証）

前提条件

• App-Auto-Patch <= 3.4.2 が動作する macOS システム（chmod 777 の tmpDir を使用する任意の Installomator バージョンでも可）
• 特権のないローカルユーザーアカウント
• Xcode コマンドラインツール（pkgbuild 用）

使用方法

ターミナル 1（特権のないユーザーとして）:

python3 poc.py

ターミナル 2（root として、MDM/管理者トリガーをシミュレート）:

sudo ./simulate-vulnerable-env.sh

この PoC は /var/tmp を監視して chmod 777 で作成された Installomator ディレクトリを検出し、正当な PKG を、root として実行される postinstall スクリプトを含む悪意のある PKG にすり替えるレースを実行します。

詳細は poc.py と simulate-vulnerable-env.sh を参照してください。

対策

• App-Auto-Patch 3.5.0 以降にアップグレードしてください
• 修正によりディレクトリのパーミッションが chmod 777 から chmod 755 に変更され、攻撃チェーンが断ち切られます

タイムライン

クレジット

• cooldadhacking (GitHub)

参照

• App-Auto-Patch PR #202
• App-Auto-Patch Issue #203
• App-Auto-Patch-via-Dialog.zsh

免責事項

この概念実証は、教育および許可を得たセキュリティテストの目的のみで提供されます。責任を持って、自分が所有するシステム、または明示的なテスト許可を得たシステムでのみ使用してください。