蘋果公司已經修復了一個漏洞，攻擊者可以通過能夠繞過Gatekeeper應用程序執行限制的不受信任的應用程序在脆弱的macOS設備上部署惡意軟件。該安全漏洞”Achilles”由微軟首席安全研究員Jonathan Bar Or發現並報告，現在被追踪為CVE-2022-42821。一周前，即12月13日，蘋果在macOS 13（Ventura）、macOS 12.6.2（Monterey）和macOS 1.7.2（Big Sur）中解決了這個漏洞。

Gatekeeper是一個macOS安全功能，它自動檢查所有從互聯網上下載的應用程序是否經過公證和開發者簽名（經蘋果公司批准），在啟動前要求用戶確認，或發出應用程序不可信的警告。

這是通過檢查一個名為com.apple.quarantine的擴展屬性來實現的，該屬性由網絡瀏覽器分配給所有下載文件，類似於Windows中的Mark of the Web。

該缺陷允許特別製作的載荷濫用邏輯問題，設置限制性的訪問控制列表（ACL）權限，阻止網絡瀏覽器和互聯網下載器為下載的ZIP文件存檔的有效載荷設置com.apple.quarantine屬性。結果是存檔的惡意載荷中包含的惡意應用程序在目標系統上啟動，而不是被Gatekeeper阻擋，使攻擊者能夠下載和部署惡意軟件。

微軟週一表示，”蘋果在macOS Ventura中引入的鎖定模式，是針對可能被複雜網絡攻擊盯上的高風險用戶的可選保護功能，旨在阻止零點擊遠程代碼執行漏洞，因此不能防禦Achilles”。微軟安全威脅情報團隊補充說：”無論他們的鎖定模式狀態如何，終端用戶都應該應用蘋果發布的已修復版本”。

這只是過去幾年發現的多個Gatekeeper旁路之一，其中許多被攻擊者在外部濫用，以規避macOS安全機制，如Gatekeeper、文件隔離和系統完整性保護（SIP）在完全打過補丁的Mac上。

例如，Bar Or在2021年報告了一個被稱為Shrootless的安全漏洞，可以讓威脅者繞過系統完整性保護（SIP），在被攻擊的Mac上進行任意操作，將權限提升到root，甚至在脆弱的設備上安裝rootkit。該研究人員還發現了powerdir，這是一個允許攻擊者繞過透明、同意和控制（TCC）技術來訪問用戶受保護數據的漏洞。他還發布了一個macOS漏洞（CVE-2022-26706）的利用代碼，可以幫助攻擊者繞過沙盒限制，在系統上運行代碼。

最後但並非最不重要的是，蘋果在2021年4月修復了一個零日macOS漏洞，使臭名昭著的Shlayer惡意軟件背後的威脅者能夠規避蘋果的文件隔離、Gatekeeper和證書安全檢查，並在受感染的Mac上下載更多的惡意軟件。

Shlayer的創造者還設法讓他們的有效載荷通過蘋果的自動證書程序，並使用多年的技術來提升權限和禁用macOS的Gatekeeper，以運行未簽署的載荷。

了解更多：

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-42821