Исследователи Cisco Talos заявили, что обнаружили восемь уязвимостей в ряде приложений Microsoft для macOS, включая Teams, Outlook, Word, PowerPoint, OneNote и Excel. По словам экспертов, эти проблемы позволяют злоумышленнику получить доступ к «микрофону, камере, папкам, записи экрана, пользовательскому вводу и многому другому».
Исследователи предупреждают, что если пользователь даст этим приложениям разрешения на доступ к ресурсам устройства, то впоследствии хакеры смогут использовать их для скрытой записи видео или аудио без ведома пользователя.
«Если доверенное приложение скомпрометировано, оно может использоваться для злоупотребления разрешениями, позволяя злоумышленникам выполнять действия без ведома пользователя. Например, если эксплуатировать приложение для видеочата с доступом к камере и микрофону, его можно заставить записывать видео без предупреждения пользователя», — пишут в Cisco.
Дело в том, что модель безопасности Apple основана на разрешениях и опирается на фреймворк TCC (transparency, consent, and control). Это он отвечает за запрос разрешений на запуск новых приложений и отображает предупреждения, если приложение хочет получить доступ к конфиденциальным данным, таким как контакты, фотографии, веб-камеры и так далее.
TCC работает с тем, что Apple называет правами (entitlement), из которых только некоторые доступны производителям ПО, и разработчики сами выбирают, какие из них необходимо включить. К примеру, если в приложении есть функция, требующая использования микрофона устройства, разработчики активируют этот entitlement, а macOS в итоге спрашивает пользователя, можно ли использовать микрофон, создавая запрос на получение явного согласия.
Исследование Cisco Talos связано с тем, что когда эти entitlement установлены пользователем, то они остаются установленными до тех пор, пока не будут изменены вручную в системных настройках macOS. То есть злоумышленник может эксплуатировать приложения, которые уже получили разрешения на выполнение нужных ему действий, и атакующему не придется обманывать жертву, пытаясь убедить ее запустить сомнительную программу. Хакер может воспользоваться для этого, к примеру, Word.
В частности обнаруженные специалистами проблемы связаны с инъекциями библиотек, — техникой атак, от которой macOS защищается с помощью Hardened Runtime (настройки, ограничивающей загрузку библиотек, которые могут содержать вредоносный код).
Однако, поскольку эта настройка также ограничивает некоторые возможности, от которых может зависеть работа приложений, Apple советует разработчикам при необходимости отключать защиту с помощью entitlement, чтобы обеспечить работоспособность своих приложений. И эксперты Cisco утверждают, что Microsoft отключает защитные функции Hardened Runtime без необходимости.
Так, используемый Microsoft entitlement, предназначен для того, чтобы приложения могли загружать плагины, подписанные сторонними разработчиками, заявили в Cisco.
«Но, насколько нам известно, единственные “плагины”, доступные для приложений Microsoft в macOS, это веб-приложения и “дополнения Office”, — говорят в компании. — Если наши представления верны, это ставит под сомнение необходимость отключения валидации библиотек, особенно если не предполагается загрузка дополнительных библиотек. Используя этот entitlement, Microsoft обходит гарантии, предоставляемые Hardened Runtime, и потенциально подвергает своих пользователей ненужным рискам».
Cisco уведомила представителей Microsoft о своих выводах, однако в компании сочли эти проблемы «малоопасными» и сообщили, что не намерены их исправлять. Впрочем, после публикации отчета исследователей Microsoft все же обновила свои приложения Teams и OneNote, чтобы удалить спорный entitlement и, соответственно, закрыть потенциальную уязвимость.
В Cisco подчеркивают, что Excel, Outlook, PowerPoint и Word остаются уязвимыми и «оставляют дверь открытой для злоумышленников, которые могут использовать все права этих приложений и, без какого-либо взаимодействия с пользователем повторно использовать все разрешения, уже полученные приложениями».
