CVE-2021-30853

一个用于测试影响 MacOS 的 CVE-2021-30657 的简单 POC 脚本。
该 CVE 允许绕过 gatekeeper、notarization 和 xprotect 检查。

漏洞详情

当你在可执行 bundle 的主脚本第一行（shebang）中未定义解释器（或指定一个本身是 shell 脚本的解释器）时，就会出现此漏洞。这将导致 xpcproxy 调用 posix_spawnp 来启动无解释器的基于脚本的应用程序。这最初会报错（无解释器 → ENOEXEC），但随后 posix_spawnp 会“恢复”并（重新）执行该脚本……这次直接通过 /bin/sh 执行。
之后，AppleSystemPolicy kext 会拦截进程启动以确保其合规（已签名、已公证等）。但它检查的是未设置任何变量的 /bin/sh，因此会在没有任何默认检查的情况下执行脚本。
基于推文：https://twitter.com/objective_see/status/1473741597368098819

复现步骤

• 将你想要的 shell 脚本代码放入 payload.sh。请注意不要修改脚本的第一行（#!/usr/bin/command）。
• 执行 setup.sh。
• 这将生成一个包含我们恶意应用 bundle 的 bait.dmg。
• 通过互联网将其分享给受害者。
• 当受害者在挂载 dmg 后双击应用图标时，它将在没有任何 gatekeeper 检查的情况下执行 payload 脚本。

受影响版本

macOS Big Sur < 11.6

技术细节

https://objective-see.com/blog/blog_0x6A.html