sábado, 30 de septiembre de 2017

Vulnerabilidad en Apple Quarantine permite ejecutar codigo arbitrario

Un investigador de wearesegment descubre una vulnerabilidad en OS X que permite bypassear Apple Quarantine y la ejecutar código arbitrario sin restricciones.


Ejecución de código remoto aprovechando la vulnerabilidad.

La caracteristica Quarantine esta diseñada con el fin de proteger a los usuarios de ataques y archivos maliciosos, introduciéndolos en una cuarentena en caso de ser sospechosos o peligrosos. Quarantine funciona estableciendo un atributo extendido para los archivos descargados y aquellos extraidos de archivos comprimidos. Este atributo comunica al sistema que abra o ejecute estos archivos en un entorno restringido. Por ejemplo, un archivo .html en cuarentena no permitirá cargar recursos. 


La vulnerabilidad esta presente en un archivo HTML que forma parte del núcleo de OS X y que es propenso a recibir ataques DOM XSS permitiendo la ejecución de código JavaScript arbitrario en un contexto sin restricciones. A continuación, podemos observar un video donde se muestra la vulnerabilidad en acción: 


El archivo vulnerable se puede encontrar en /System/Library/CoreServices/HelpViewer.app/Contents/Resources/rhtmlPlayer.html

De momento Apple no ha asignado CVE a esta vulnerabilidad y no se menciona en ningun changelog de la misma. La unica solución de momento es actualizar a OS X High Sierra o eliminar rhtmlPlayer.html

Fernando Díaz
fdiaz@hispasec.com
@entdark_

Más información:

Mac OS X Local Javascript Quarantine Bypass: