اپل بار دیگر به دلیل آسیب پذیری در کتابخانه libapplearchive ، که قبلاً با اسناد بایگانی .AAR کار می کرد ، این خبر را دریافت کرد. محقق Snuli Keffabert فاصله مهمی را پیدا کرده است (CVE-2024-27876 ، CVSS 8.1) ، این امکان را می دهد که نه تنها پرونده ها را در موقعیت های دیسک دلخواه ضبط کند ، بلکه دروازه بان را نیز نادیده می گیرد.
این همه با این واقعیت آغاز شد که Keffababer تجزیه و تحلیل نحوی خود را – LibneoAplearchive – برای مطالعه رفتار ذخیره سازی اپل در لینوکس نوشت.
او با منطق دست زدن به همزمان ، متوجه عجیب شد: بایگانی ها را می توان استخراج کرد به طوری که یکی از پرونده های خروجی معلوم شد … Simlylka در هر پوشه دیگری روی سیستم.
آزمایش بعدی نشان دادنکه در طی فرآیند رفع فشار ، یک “شرایط نژادی وجود دارد) وجود دارد. کتابخانه ابتدا بررسی می کند که آیا فهرست پوشه مورد نظر وجود دارد ، و فقط در این صورت سعی می کند آن را ایجاد کند.
اگر در این زمان یک Simlink را روی یک پوشه دیگر قرار دهید ، Libapplearchive هنوز هم فکر خواهد کرد که نمونه کارها ایجاد شده است و به نوشتن پرونده های آنجا ادامه خواهد داد. بنابراین ، داده ها در آدرس تعیین شده توسط Simlink – کاملاً تحت کنترل مهاجم قرار می گیرند.
با تکرار ساختار از Sims و پرونده های موجود در ذخیره سازی بارها ، Keffaber درصد موفقیت این حمله را به میزان قابل توجهی افزایش داد.
او در آنجا متوقف نشد: هدف بعدی نادیده گرفتن دروازه بان بود. به نظر می رسد ، اولین ابزار ذخیره سازی استاندارد ، پرونده ها را به پوشه موقت فشرده کرده است و فقط علائم قرنطینه را روی آنها آویزان می کند. اگر با کمک شکاف ، نیروی libapplearchive برای استخراج پرونده در خارج از این پوشه ، به قرنطینه می رود و بدون هشدار قادر به شروع خواهد بود – البته این بسیار خطرناک است.
این شکاف نه تنها بر MacO ها تأثیر می گذارد. libapplearchive در محل کار (میانبر) ، FlexMusickit ، Clipservice و همچنین در پرونده های iOS استفاده می شود. حتی هنگام نظارت بر تست هایی مانند PathisValid () ، این مسابقه هنوز هم به آنها اجازه می دهد تا سفر کنند.
Keffaber POC را منتشر کرد و ثابت کرد که این حمله کاملاً واقع بینانه است ، اگرچه به دانش جزئیات مانند $ tmpdir نیاز دارد.
اپل در به روزرسانی های جدید شکافی را بسته است ، بنابراین به روزرسانی های اضطراری – شکاف جدی است و بهره برداری به صورت آنلاین در دسترس است.