研究人員稱：macOS Gatekeeper安然機制中存在大大裂縫

摘要：為了更好地理解此漏洞利用的工作原理，讓我們考慮以下場景：攻擊者製作一個zip文件，其中包含一個指向她/他控制的automount端點的符號鏈接（來自Documents – > /net/evil.com/Documents）並將其發送到受害者。第二個合法的功能是zip存檔可以包含指向任意位置（包括automount enpoints）的符號鏈接，並且MacOS上負責解壓縮zip文件的軟件在創建它們之前不會對符號鏈接執行任何檢查。

引述外媒報導，安全研究員Filippo Cavallarin已經公開了他所說的繞過macOS的Gatekeeper安全功能的方法。截至上周發布的macOS 10.14.5版本，蘋果仍然沒有解決旁路問題。

Gatekeeper是一種macOS安全工具，可在下載後立即驗證應用程序。這可以防止應用程序在未經用戶同意的情 當用戶從Mac App Store外部下載應用程序時，Gatekeeper用於檢查代碼是否已由Apple簽名。如果代碼尚未簽名，則在用戶未授予權限的情況下，該應用程序將無法打開。

然而，Cavallarin 在他的博客上寫道，Gatekeeper的功能可以被完全繞過。在當前的做到中，Gatekeeper將外部驅動器和網路共享視為「安全位置」。這意味著它允許運行這些位置中包含的任何應用程序而無需再次檢查代碼。他接著解釋說，用戶可以「輕易」欺騙安裝網路共享驅動器，然後該文件夾中的任何內容都可以通過Gatekeeper。

安全研究員解釋說：

第一個合法的功能是automount（aka autofs），它允許用戶僅通過訪問「特殊」路徑（在這種情況下，以「/ net /」開頭的任何路徑）自動掛載網路共享。例如，’ls /net/evil-attacker.com/sharedfolder/’將使os使用NFS讀取遠程主機（evil-attacker.com）上’sharedfolder’的內容。第二個合法的功能是zip存檔可以包含指向任意位置（包括automount enpoints）的符號鏈接，並且MacOS上負責解壓縮zip文件的軟件在創建它們之前不會對符號鏈接執行任何檢查。

這是如何工作的一個例子：

為了更好地理解此漏洞利用的工作原理，讓我們考慮以下場景：攻擊者製作一個zip文件，其中包含一個指向她/他控制的automount端點的符號鏈接（來自Documents – > /net/evil.com/Documents）並將其發送到受害者。受害者下載惡意檔案，提取並遵循符號鏈接。現在，受害者位於受攻擊者控制但受Gatekeeper信任的位置，因此任何攻擊者控制的可執行文件都可以在沒有任何警告的情況下運行。設計Finder的方式（隱藏.app擴展，隱藏標題欄的完整路徑）使得這個技術非常有效且難以發現。

Cavallarin表示，他於2月22日向Apple通報了這一漏洞，該公司應該在上周發布macOS 10.14.5時解決這個問題。然而，截至該版本，該漏洞仍未得到解決，Cavallarin稱Apple已停止回復他的電子郵件。他正在宣傳這個缺陷，因為他給蘋果公司提供了90天的窗口。