Onderzoeker weet Apples macOS-sandbox keer op keer te omzeilen
MacOS beschikt over een sandbox die moet voorkomen dat een applicatie onbeperkte toegang tot gebruikersdata en systeembronnen heeft, maar beveiligingsonderzoeker Mickey Jin slaagt er keer op keer in om Apples beveiligingsmaatregel te omzeilen. De onderzoeker presenteerde vorige week tijdens de 'Power of community' conferentie in Seoul een overzicht van zogenoemde 'sanbox escapes' in macOS.
Jin rapporteerde de afgelopen jaren meerdere van dergelijke beveiligingslekken aan Apple. Zo kwam het techbedrijf begin deze maand nog met updates voor meerdere door Jin gerapporteerde kwetsbaarheden. De sandbox moet ervoor zorgen dat een applicatie alleen toegang tot zijn eigen gebruikersdata en systeembronnen heeft en niet die van andere apps. De afgelopen jaren lukte het Jin om deze beperking op meerdere manieren te omzeilen.
Zo worden bestanden van de gesandboxte applicatie standaard van een speciaal quarantaine-attribuut voorzien. Dit attribuut is niet door de gesandboxte app te verwijderen. Een dergelijk attribuut werd in eerste instantie niet toegekend aan bestanden in een archiefbestand, dat van een gesandboxte applicatie afkomstig is. De uitgepakte bestanden missen daardoor dit attribuut. Naast de applicatie-sandbox is er ook een service-sandbox die niet in alle gevallen het attribuut toekent.
Daarnaast ontdekte Jin ook dat het via de XPC-service mogelijk was om uit de sandbox te breken, omdat de service zonder sandbox-beperkingen is te starten. Apple heeft deze problemen inmiddels verholpen. Jin beschrijft echter ook een sandbox-escape aangeduid als CVE-2024-27864 waarvan de CVE-melding nog moet verschijnen en waarvan onduidelijk is of Apple die heeft gepatcht. Het CVE-nummer is niet in de beveiligingsbulletins van het techbedrijf te vinden, maar het komt ook voor dat Apple CVE-nummers op een later moment toevoegt.
Steve Jobs gaf in 2007 en 2008 nog een Keynote Speech -
De Sandbox techniek werd medio 2007 geïntroduceerd, (in 2010 werd er meer over bericht) en in 2012 werd het verplicht voor derde ontwikkelaars.
https://www.applegazette.com/applegazette-mac/what-is-macos-sandboxing-and-why-does-it-exist/
Oftewel, je stelling dat ie er niet meer was toen de technologie werd gelanceerd klopt niet en dat had je kunnen weten!
Er zijn wel heel veel presentaties gegeven en de precieze uitspraak van Steve Jobs kan ik nu zo snel niet terugvinden, maar google weet vast raad hiervoor. Als ik 't vind zal er ik nog op terugkomen.
Afgaande op de ietwat kort door de bocht van je reactie wek je de indruk dat je zeker niet destijds de presentatie hebt gezien.
Maar laat ik even op de elementaire rol van Sandbox ingaan die het wel degelijk heeft, als je security - privacy en raakvlakken en de toegang ertoe tussen processen tenminste elementair genoeg vind.
Sinds 2012 moeten Apps van derden die via de Appstore worden aangeboden ook zijn voorzien van Sandbox technologie.
En je uitspraak doe je ook zonder verwijzing naar bronnen die erop wijzen dat Sanbox technologie niet essentieel is.
Kijk je naar de Developer documentatie van dan melden ze over Sandbox het volgende:
Restrict access to system resources and user data in macOS apps to contain damage if an app becomes compromised.
Overview
App Sandbox provides protection to system resources and user data by limiting your app’s access to resources requested through entitlements.
https://developer.apple.com/documentation/security/app-sandbox
Wat doet Sandboxing?
Sandboxing protects against mistakes made by the programmer, so that one app cannot affect other apps, and it protects against hackers/viruses being able to do anything in the system
macOS has been moving to a fully sandboxed environment and all new apps submitted to the Mac App Store must have the sandbox entitlement turned on or it will not be allowed onto the App Store for distribution
This is one of many reasons why jailbreak apps are rejected from the App Store
Apple breaks up the sandbox functionality into these functional areas:
The app cannot be submitted to the App Store without a digital signature and the app cannot run in any sandbox without its digital signature first being verified
- Entitlements. Communicate to macOS the specific system resources your app needs to get its job done, and no more.
- Containers. Access only the files and directories considered safe for your app.
Persistent Resource Access. Retain security-scoped bookmarks across launches of your app to any additional files to which the user has specifically granted your app access.
- Code Signing. Unambiguously identify your app to the system so another app cannot masquerade as yours.
Privilege Separation.
Ik hou het kort, kijk naar Sandboxing beschrijving voor de Apple nevelopper pagina en zie dat Apple het plaatst onder secure code en dat het onder andere gebruikersdata beschermt. Sandboxing is daarmee een vrij cruciaal iets.
Zie tevens https://developer.apple.com/documentation/security
https://www.microsoft.com/en-us/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/
Apple doet z'n huiswerk duidelijk te weinig en voor dat geld en de alsmaar aanhoudend duurdere apparaten moet dat beter.
Nog wel, het kan natuurlijk wel, maar gebruikers zitten nu dan ook nog in de relatief veilige App store.
De onderzoeker heeft aangetoond dat die 'sandbox' GEEN sandbox is. Gelijk aan Google's Chrome en Mozilla's Firefox 'sandboxes' als gatenkaas.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
