Apple macOS 和 iOS 新漏洞可能导致用户数据泄露

关键要点

• 新检测到的漏洞允许攻击者获取用户的通话记录、日历、通讯录和照片。
• 这些漏洞泄露了 macOS 和 iOS 安全模型的重大缺陷。
• 漏洞编号为 CVE-2023-23531 和 CVE-2023-23530，严重性从中等到高。
• 攻击者需事先已控制目标设备才能利用这些漏洞，但后果严重。
• Apple 已对此漏洞发布了补丁。

研究人员发现，苹果的 macOS 和 iOS中存在新的安全漏洞，这使得攻击者可以窃取特定用户的通话历史、日历、地址簿和照片。这些漏洞标志着苹果在安全防护方面的新挑战。

根据 的研究报告，这些漏洞提供了“广泛”的攻击策略，严重威胁到苹果的安全框架。高级漏洞研究员奥斯丁·埃米特指出，这些漏洞代表了苹果安全模型的重大突破，该模型依赖于各个应用程序对所需资源的精细访问控制，以及查询更高权限服务以获取额外资源。

简单来说，这类“新的大规模漏洞”允许攻击者“绕过代码签名”保护，从而验证在 iOS 或 macOS设备上运行的应用程序是安全的。一旦绕过，这些未签名的代码将不会触发任何安全警告并可执行，从而引发权限提升和沙箱逃逸的状况。

“自从第一版 iOS 出现在原始 iPhone 上，苹果就严格限制可以在其移动设备上运行的软件。只有经过苹果信任的开发者证书进行加密签名的应用程序才能执行。”埃米特在报告中写道。

这些限制有效阻止了恶意软件在设备上运行。但 Trellix 的发现揭露了苹果安全方法中的漏洞，使得攻击者能够在尽管存在代码签名要求的情况下，运行恶意程序。

这两个漏洞（CVE-2023-23531和CVE-2023-23530）的严重性从中等到高，均被归类为权限提升漏洞。虽然这两个漏洞都很严重，但利用这些漏洞的攻击者必须事先已经入侵目标设备。苹果已在其 macOS 13.2 和 iOS 16.3 软件更新中为这两个漏洞发布了补丁。

旧问题的新变化

Trellix 表示，其发现是基于对一个被称为 ForceEntry 的高调漏洞的先前研究。该漏洞是由公民实验室和谷歌零日项目在 2021年底揭露的，属于零点击攻击，允许攻击者在目标设备上执行远程代码。这个漏洞被广泛认为是国家行为者利用的，曾针对一名沙特阿拉伯活动家的 iPhone。

ForceEntry 漏洞是一种两阶段攻击。第一阶段是向受害者发送伪装成图像（GIF）的 PDF 文件，第二阶段则利用苹果的 iOS沙箱组件，允许代码“逃逸”并影响其他系统组件。

Trellix 的研究集中在苹果的代码过滤安全工具 NSPredicate 上，该工具在 ForceEntry攻击链中至关重要。埃米特表示，他检查了被视为“苹果主要防范危险的工具”的 NSPredicateVisitor 函数，从而促使了 Trellix的发现。尽管苹果已对 NSPredicate 进行了补丁以防止其被滥用（在 Pegasus 情境中），Trellix 还是找到了一种绕过苹果缓解措施的方法。

“苹果在过去的 FORCEDENTRY 披露中的修复措施完全无效。”Mac 安全网站及工具套件 Objective-See 的创始人帕特里克·沃德尔在 Twitter 上指出。

Trellix 详细描述了如何利用苹果安全方法中的弱点，特别是针对苹果对 NSPredicate 的补丁。一个新类别漏洞的例子与苹果的一个名为 CoreDuet 的根级进程相关，该进程收集设备行为数据。“攻击者如果在具有相应权限的进程（如 Messages 或 Safari）中执行代码，就能够发送恶意 NSPredicate，并以该进程的权限执行代码。”埃米特