Zero-Day-Sicherheitslücke im macOS Finder ermöglicht Silent Code Execution

Eine neu entdeckte Zero-Day-Schwachstelle in der Finder-Komponente von macOS ermöglicht die Ausführung von Code und die leise Ausführung beliebiger Befehle, wie Sicherheitsforscher enthüllten. Die Offenlegung erfolgte über SSD Secure Disclosure – eine Plattform, die auf die verantwortungsvolle Meldung und Offenlegung von Schwachstellen an Anbieter abzielt.

Laut den Forschern liegt die Schwachstelle in der Art und Weise, wie macOS Finder mit .inetloc-Dateien umgeht. Diese ähneln Web-Shortcuts, die auf Windows-Rechnern verwendet werden, haben jedoch eine etwas breitere Funktionalität. Eine .inetloc-Datei kann nicht nur auf eine Website oder URL verweisen, sondern auch auf Newsfeeds oder sogar Telnet-Speicherorte.

Das Problem kommt von einer zusätzlichen Funktionalität, die .inetloc-Dateien haben – sie können auf lokale Dokumente verweisen, die sich auf der Festplatte eines Benutzers befinden und dasselbe Dateiformat verwenden. Dies funktioniert ähnlich wie Dateiverknüpfungen auf Windows-Systemen, wo der http://-Teil der .inetloc-Datei durch file:// ersetzt wird.

Ein Bedrohungsakteur müsste nur eine manipulierte, bösartige .inetloc-Datei erstellen, die darin eingebettete Befehle enthält. Sobald die manipulierte Datei erstellt wurde, muss sie nur noch an genügend Opfer verbreitet werden, indem Malspam-Kampagnen und Social Engineering verwendet werden, um die Benutzer dazu zu bringen, den bösartigen Anhang zu öffnen.

Wichtig ist, dass das Problem auch macOS Big Sur betrifft – die aktuelle Version des Betriebssystems und nicht auf alte oder ungepatchte Versionen beschränkt ist. Das Problem wurde der SSD Secure Disclosure-Plattform von einem unabhängigen Forscher namens Park Minchan gemeldet.

Als Reaktion darauf hat Apple schnell einen Hotfix-Patch veröffentlicht, aber keinen CVE-Eintrag für das Problem eingereicht. Laut Forschern konnte der Fix das Problem jedoch nicht vollständig lösen.

Der Fix führte dazu, dass das Präfix file:// nicht mehr funktionierte, aber der Patch beachtete die Groß-/Kleinschreibung, was bedeutet, dass File:// den Fix immer noch umgehen kann.

ThreatPost berichtete, dass es keine Informationen über die aktive Ausnutzung der fraglichen Sicherheitslücke gibt und gab an, dass sie keine Antwort erhalten haben, wenn sie Apple um weitere Kommentare gebeten haben.