セキュリティバイト: Jamf が iCloud データへのステルスアクセスを可能にする TCC バイパスの脆弱性を発見

から

12月 13, 2024

9to5Mac Security Bite は、次の企業によってのみ提供されます。 Mosyle、唯一の Apple 統合プラットフォーム。 Apple デバイスをすぐに使えるようにし、エンタープライズでも安全に使えるようにすることが私たちのすべてです。管理とセキュリティに対する当社の独自の統合アプローチは、完全に自動化された強化とコンプライアンス、次世代 EDR、AI を活用したゼロトラスト、および独占的な権限管理のための最先端の Apple 固有のセキュリティソリューションを、最も強力で最新の Apple MDM と組み合わせています。市場にあります。その結果、完全に自動化された Apple Unified Platform が誕生し、現在 45,000 を超える組織から信頼されており、何百万台もの Apple デバイスを手間をかけずに手頃なコストですぐに使用できるようにしています。 延長トライアルをリクエストする 今日、Apple と協力するために Mosyle がすべてである理由を理解してください。

先週、私は、人気のある Apple デバイス管理ソフトウェア会社 Jamf のセキュリティ研究部門から、深刻ではあるが現在パッチが適用されている iOS と macOS の脆弱性について詳しく説明した興味深いレポートを受け取りました。この発見は禁輸措置下に置かれていたが、今日ようやくそれについて話すことができる。

Jamf Threat Labs は、iOS および macOS 上の Apple の iOS 透明性、同意、および制御 (TCC) サブシステムに重大な脆弱性を発見しました。この脆弱性により、悪意のあるアプリが、通知やユーザーの同意プロンプトをトリガーすることなく、まったく気付かれずに機密のユーザーデータにアクセスできる可能性があります。

Apple のエコシステム全体で、TCC は非常に重要なセキュリティフレームワークとして機能し、ユーザーに個々のアプリからの機密データへのアクセス要求を許可、制限、または拒否するように促します。初めてアプリケーションを開いたときに、これらのプロンプトが表示される可能性があります。ただし、この制御メカニズムが失敗すると TCC バイパスの脆弱性が発生する可能性があり、ユーザーの明示的な同意や認識なしにアプリケーションが個人情報にアクセスできる可能性があります。

新たに発見された脆弱性は次のように追跡されています。 CVE-2024-44131、Files.app および FileProvider.framework システムプロセスに影響を与え、写真、GPS 位置情報、連絡先、健康データなどのユーザーの個人情報が公開される可能性があります。さらに、Jamf によれば、潜在的に悪意のあるアプリケーションがユーザーのマイクやカメラにアクセスできるようになる可能性があるという。このエクスプロイトはまったく検出されずに発生する可能性があります。

仕組み

Jamf の研究者チームは、iOS 内でのファイル操作の処理方法を悪用するシンボリックリンクに関連する潜在的なバイパスを発見しました。ファイルのコピープロセスの途中で戦略的にシンボリックリンクを挿入することにより、悪意のあるアプリは TCC プロンプトをトリガーせずにファイルの移動を傍受し、リダイレクトすることができます。

「ユーザーが Files.app 内でファイルを移動またはコピーすると、バックグラウンドの悪意のあるアプリがこれらのアクションを傍受し、アプリの制御下にある場所にファイルをリダイレクトする可能性があります。」と Jamf Threat Labs は述べています。レポートは説明します。「fileproviderd の昇格された権限を利用することで、悪意のあるアプリは TCC プロンプトをトリガーせずにファイルの移動やコピーをハイジャックできます。この悪用は、エンドユーザーにはまったく気づかれずに、瞬く間に起こる可能性があります。」

この脆弱性の最も憂慮すべき側面は、データにこっそりアクセスされる可能性があることです。ここでは TCC プロンプトがトリガーされないため、ユーザーは自分のデータがアクセスされたり、攻撃者が制御するディレクトリに移動されたりすることを知ることができません。

特に脆弱なのは、iCloud に保存されているファイル、特に /var/mobile/Library/Mobile Documents/ などのディレクトリにあるファイルです。ここに保存されている写真やファイルに加えて、WhatsApp、Pages、その他のクラウド同期アプリケーションなどのアプリからのデータも含まれる場合があります。

この脆弱性が積極的に悪用されていたかどうかは不明です。 Jamf によると、この問題はすぐに Apple に報告され、9 月に iOS 18 と macOS 15 の初期リリースでパッチが適用されました。

Jamf Threat Lab の完全な調査結果をご覧いただけますここ。