Хакер #315. Positive Hack Days Fest 3
Специалист Positive Technologies Егор Филатов обнаружил и помог устранить уязвимость в Tunnelblick (графический интерфейс для работы с OpenVPN). Проблема позволяла повысить привилегии в системе и похитить данные. Примечательно, что эксплуатировать ее можно было даже в случае неполного удаления приложения.
Уязвимость получила идентификаторы CVE-2025-43711 и PT-2025-25226 (8,1 балла из 10 по шкале CVSS 3.1). Она затрагивала все версии Tunnelblick начиная с 3.5beta06 и заканчивая 6.1beta2. Эксплуатация бага позволяла злоумышленнику повысить привилегии на компьютере жертвы.
«Для успешной атаки нарушителю потребовалась бы учетная запись пользователя, имеющего возможность изменять параметры macOS. Так как права администрирования выдаются по умолчанию, стать жертвой мог практически кто угодно. Еще одно условие: эксплуатация уязвимости была бы возможна только в том случае, если бы Tunnelblick был не полностью удален с компьютера, например, просто отправлен в корзину. В таком случае на устройстве остался бы компонент, действующий с повышенными привилегиями. Им и мог бы воспользоваться злоумышленник», — рассказывает Егор Филатов, младший специалист группы исследования безопасности мобильных приложений Positive Technologies.
Отмечается, что в случае неполного удаления приложения атакующий мог разместить на устройстве жертвы малварь, использующую привилегированный компонент Tunnelblick. При следующем включении компьютера привилегии злоумышленника были бы автоматически повышены, и он получил бы права на выполнение любых операций.
После уведомления о баге производитель уже выпустил обновления. Пользователям рекомендуется обновить Tunnelblick до версии 7.0, 7.1beta01 или более поздней. Если загрузить исправление по каким-то причинам невозможно, специалисты советуют защититься одним из двух способов: не удалять Tunnelblick.app из папки /Applications или входить в систему как простой пользователь (без прав администратора).
Пользователям, которым больше не нужен Tunnelblick, команда проекта советует удалить приложение с помощью встроенного деинсталлятора. Для этого нужно открыть окно «Детали VPN» и найти панель «Утилиты». Если там нет кнопки «Удалить», можно воспользоваться отдельным деинсталлятором Tunnelblick или любым другим. Тем, кто перенес приложение в корзину, рекомендуется удалить файл, путь к которому выглядит как /Library/LaunchDaemons/net.tunnelblick.tunnelblick.tunnelblickd.plist.
Альтернативный вариант — заново установить любую версию Tunnelblick, а затем полностью удалить ее в соответствии с рекомендациями.
