CVE-2025-70341: Небезопасные разрешения + произвольное выполнение кода в App-Auto-Patch

Сводка

App-Auto-Patch v3.4.2 создаёт свой рабочий каталог с правами на запись для всех пользователей (chmod 777), что создаёт локальное состояние гонки TOCTOU (time-of-check-time-of-use). Непривилегированный локальный злоумышленник может использовать это для подмены проверенных пакетов вредоносными до установки, получая произвольное выполнение кода с правами root. Кроме того, вредоносный фрагмент метки Installomator может обеспечить произвольное выполнение кода через eval несанитизированного ввода при разборе меток.

Затронутые версии

• Уязвимые: App-Auto-Patch <= 3.4.2
• Исправлено в: App-Auto-Patch 3.5.0

CVSS 3.1

Оценка: 7.8 (высокая)

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Детали уязвимости

Проблема 1: Каталог с правами на запись для всех (CWE-732)

Файл: App-Auto-Patch-via-Dialog.zsh, строка 2525

Во время установки appAutoPatchFolder создаётся с правами chmod 777. Это позволяет любому локальному пользователю записывать, изменять или удалять файлы в этом каталоге.

Проблема 2: Произвольное выполнение кода через eval (CWE-94)

Файл: App-Auto-Patch-via-Dialog.zsh, строка 4744

Фрагменты меток Installomator разбираются с помощью eval без санитизации. В сочетании с каталогом с правами на запись для всех злоумышленник может внедрить вредоносный фрагмент метки, который выполняет произвольные команды с правами root.

Цепочка атаки

1. App-Auto-Patch creates appAutoPatchFolder with chmod 777
2. Installomator downloads PKG to world-writable tmpDir, verifies signature
3. ~140 lines of bash execute between verification and installation (RACE WINDOW)
4. Attacker swaps verified PKG with malicious PKG
5. installer -pkg runs attacker's PKG as root

Доказательство концепции (PoC)

Предварительные требования

• Система macOS с App-Auto-Patch <= 3.4.2 (или любая версия Installomator, использующая chmod 777 для tmpDir)
• Непривилегированная локальная учётная запись пользователя
• Инструменты командной строки Xcode (для pkgbuild)

Использование

Терминал 1 (от непривилегированного пользователя):

python3 poc.py

Терминал 2 (от root, имитация запуска MDM/администратором):

sudo ./simulate-vulnerable-env.sh

PoC отслеживает в /var/tmp каталоги Installomator, созданные с правами chmod 777, а затем в гонке подменяет легитимный PKG вредоносным, содержащим скрипт postinstall, который выполняется с правами root.

Полные подробности см. в poc.py и simulate-vulnerable-env.sh.

Устранение уязвимости

• Обновитесь до App-Auto-Patch 3.5.0 или новее
• Исправление меняет права каталога с chmod 777 на chmod 755, разрывая цепочку атаки

Хронология

Автор

• cooldadhacking (GitHub)

Ссылки

• App-Auto-Patch PR #202
• App-Auto-Patch Issue #203
• App-Auto-Patch-via-Dialog.zsh

Отказ от ответственности

Этот PoC предоставлен только в образовательных целях и для авторизованного тестирования безопасности. Используйте его ответственно и только на системах, которыми вы владеете или на тестирование которых имеете явное разрешение.