CVE-2021-30853

macOS に影響する CVE-2021-30657 をテストするためのシンプルな POC スクリプト。
この CVE により、ゲートキーパー、ノータリゼーション、XProtect のチェックをバイパスできます。

脆弱性の詳細

この脆弱性は、実行可能バンドルのメインスクリプトの最初の行（シバン）にインタープリタを定義しない（または、それ自体がシェルスクリプトであるインタープリタを指定する）場合に発生します。これにより、xpcproxy が posix_spawnp を呼び出して、インタープリタなしのスクリプトベースのアプリケーションを起動します。これは最初にエラーになります（インタープリタなし → ENOEXEC）が、その後 posix_spawnp が「回復」してスクリプトを（再）実行します...今回は /bin/sh を直接経由します。
その後、AppleSystemPolicy kext がプロセスの起動を傍受して、それが準拠しているか（署名済み、ノータリゼーション済みなど）を確認します。しかし、/bin/sh を変数が設定されていない状態でチェックするため、デフォルトのチェックなしでスクリプトが実行されます。
スレッドに基づく: https://twitter.com/objective_see/status/1473741597368098819

再現手順

• 任意のシェルスクリプトコードを payload.sh に配置します。スクリプトの最初の行（#!/usr/bin/command）は変更しないでください。
• setup.sh を実行します。
• これにより、悪意のあるアプリバンドルを含む bait.dmg が生成されます。
• インターネット経由で被害者に共有します。
• 被害者が dmg をマウントした後にアプリアイコンをダブルクリックすると、ゲートキーパーのチェックなしでペイロードスクリプトが実行されます。

影響を受けるバージョン

macOS Big Sur < 11.6

技術詳細

https://objective-see.com/blog/blog_0x6A.html