image

Onderzoeker weet Apples macOS-sandbox keer op keer te omzeilen

maandag 11 november 2024, 11:59 door Redactie, 10 reacties

MacOS beschikt over een sandbox die moet voorkomen dat een applicatie onbeperkte toegang tot gebruikersdata en systeembronnen heeft, maar beveiligingsonderzoeker Mickey Jin slaagt er keer op keer in om Apples beveiligingsmaatregel te omzeilen. De onderzoeker presenteerde vorige week tijdens de 'Power of community' conferentie in Seoul een overzicht van zogenoemde 'sanbox escapes' in macOS.

Jin rapporteerde de afgelopen jaren meerdere van dergelijke beveiligingslekken aan Apple. Zo kwam het techbedrijf begin deze maand nog met updates voor meerdere door Jin gerapporteerde kwetsbaarheden. De sandbox moet ervoor zorgen dat een applicatie alleen toegang tot zijn eigen gebruikersdata en systeembronnen heeft en niet die van andere apps. De afgelopen jaren lukte het Jin om deze beperking op meerdere manieren te omzeilen.

Zo worden bestanden van de gesandboxte applicatie standaard van een speciaal quarantaine-attribuut voorzien. Dit attribuut is niet door de gesandboxte app te verwijderen. Een dergelijk attribuut werd in eerste instantie niet toegekend aan bestanden in een archiefbestand, dat van een gesandboxte applicatie afkomstig is. De uitgepakte bestanden missen daardoor dit attribuut. Naast de applicatie-sandbox is er ook een service-sandbox die niet in alle gevallen het attribuut toekent.

Daarnaast ontdekte Jin ook dat het via de XPC-service mogelijk was om uit de sandbox te breken, omdat de service zonder sandbox-beperkingen is te starten. Apple heeft deze problemen inmiddels verholpen. Jin beschrijft echter ook een sandbox-escape aangeduid als CVE-2024-27864 waarvan de CVE-melding nog moet verschijnen en waarvan onduidelijk is of Apple die heeft gepatcht. Het CVE-nummer is niet in de beveiligingsbulletins van het techbedrijf te vinden, maar het komt ook voor dat Apple CVE-nummers op een later moment toevoegt.

Reacties (10)
11-11-2024, 12:35 door Bitje-scheef
Apple werd appeltaart.
11-11-2024, 13:23 door Anoniem
Ondanks dit gedoe blijft het verbazen dat er zo weinig misbruik )via ransomware) van gemaakt wordt. Hoe kan dat?
11-11-2024, 14:00 door Anoniem
Erg knap van Mickey Jin om keer op keer unieke escapes te vinden die bruikbaar zijn. Hier wordt het OS in de breedste zin nog beter van.
11-11-2024, 14:14 door Anoniem
Het sandbox verhaal zou ondoordringbaar zijn was de garantie van Steve Jobs bij introductie ervan. Ben benieuwd hoe lang deze kwetsbaarheid al in het Apple OS-en zit. Uiteraard moet het omdat Sandbox zo'n elementair iets is in alle betroffen OS-en worden dichtgetimmerd.
11-11-2024, 17:00 door Anoniem
Door Anoniem: Het sandbox verhaal zou ondoordringbaar zijn was de garantie van Steve Jobs bij introductie ervan. Ben benieuwd hoe lang deze kwetsbaarheid al in het Apple OS-en zit. Uiteraard moet het omdat Sandbox zo'n elementair iets is in alle betroffen OS-en worden dichtgetimmerd.
Daar geloof ik niks van
Door Anoniem: Het sandbox verhaal zou ondoordringbaar zijn was de garantie van Steve Jobs bij introductie ervan. Ben benieuwd hoe lang deze kwetsbaarheid al in het Apple OS-en zit. Uiteraard moet het omdat Sandbox zo'n elementair iets is in alle betroffen OS-en worden dichtgetimmerd.
Dat heeft hij niet gezegd. App Sandboxing was trouwens pas na zijn dood verplicht.
11-11-2024, 22:32 door Anoniem
Door Anoniem:
Door Anoniem: Het sandbox verhaal zou ondoordringbaar zijn was de garantie van Steve Jobs bij introductie ervan. Ben benieuwd hoe lang deze kwetsbaarheid al in het Apple OS-en zit. Uiteraard moet het omdat Sandbox zo'n elementair iets is in alle betroffen OS-en worden dichtgetimmerd.
Daar geloof ik niks van
Door Anoniem: Het sandbox verhaal zou ondoordringbaar zijn was de garantie van Steve Jobs bij introductie ervan. Ben benieuwd hoe lang deze kwetsbaarheid al in het Apple OS-en zit. Uiteraard moet het omdat Sandbox zo'n elementair iets is in alle betroffen OS-en worden dichtgetimmerd.
Dat heeft hij niet gezegd. App Sandboxing was trouwens pas na zijn dood verplicht.
Ik haak even in op het 1e en 2e wat je zegt.
Steve Jobs gaf in 2007 en 2008 nog een Keynote Speech -
De Sandbox techniek werd medio 2007 geïntroduceerd, (in 2010 werd er meer over bericht) en in 2012 werd het verplicht voor derde ontwikkelaars.
https://www.applegazette.com/applegazette-mac/what-is-macos-sandboxing-and-why-does-it-exist/
Oftewel, je stelling dat ie er niet meer was toen de technologie werd gelanceerd klopt niet en dat had je kunnen weten!
Er zijn wel heel veel presentaties gegeven en de precieze uitspraak van Steve Jobs kan ik nu zo snel niet terugvinden, maar google weet vast raad hiervoor. Als ik 't vind zal er ik nog op terugkomen.

Afgaande op de ietwat kort door de bocht van je reactie wek je de indruk dat je zeker niet destijds de presentatie hebt gezien.
Maar laat ik even op de elementaire rol van Sandbox ingaan die het wel degelijk heeft, als je security - privacy en raakvlakken en de toegang ertoe tussen processen tenminste elementair genoeg vind.

Sinds 2012 moeten Apps van derden die via de Appstore worden aangeboden ook zijn voorzien van Sandbox technologie.
En je uitspraak doe je ook zonder verwijzing naar bronnen die erop wijzen dat Sanbox technologie niet essentieel is.
Kijk je naar de Developer documentatie van dan melden ze over Sandbox het volgende:
App Sandbox
Restrict access to system resources and user data in macOS apps to contain damage if an app becomes compromised.

Overview
App Sandbox provides protection to system resources and user data by limiting your app’s access to resources requested through entitlements.
Dat zegt al dat als je security een centraal topic voor een Operating Systeem vindt dat het een van de elementaire onderdelen is.
https://developer.apple.com/documentation/security/app-sandbox

Wat doet Sandboxing?
Apps are limited by “entitlements” which severely restrict what an app can do, hence the term “sandbox” because an app can only operate (or “play”) in the space (“playground sandbox”) that is provided to them by macOS, these entitlements allow the app to do certain things (access certain resources) and no more than that

Sandboxing protects against mistakes made by the programmer, so that one app cannot affect other apps, and it protects against hackers/viruses being able to do anything in the system
macOS has been moving to a fully sandboxed environment and all new apps submitted to the Mac App Store must have the sandbox entitlement turned on or it will not be allowed onto the App Store for distribution
This is one of many reasons why jailbreak apps are rejected from the App Store

Apple breaks up the sandbox functionality into these functional areas:

The app cannot be submitted to the App Store without a digital signature and the app cannot run in any sandbox without its digital signature first being verified
- Entitlements. Communicate to macOS the specific system resources your app needs to get its job done, and no more.
- Containers. Access only the files and directories considered safe for your app.
Persistent Resource Access. Retain security-scoped bookmarks across launches of your app to any additional files to which the user has specifically granted your app access.
- Code Signing. Unambiguously identify your app to the system so another app cannot masquerade as yours.
Privilege Separation.
Via quora - How does the app sandbox architecture work in macOS
11-11-2024, 22:37 door Anoniem
@Annoniem 11-11-2024 - 17:00 uur.
Ik hou het kort, kijk naar Sandboxing beschrijving voor de Apple nevelopper pagina en zie dat Apple het plaatst onder secure code en dat het onder andere gebruikersdata beschermt. Sandboxing is daarmee een vrij cruciaal iets.
Zie tevens https://developer.apple.com/documentation/security
11-11-2024, 22:44 door Anoniem
Helaas is het ontglippen aan de Sandboxing bij Mac OS niet nieuw getuige deze posting uit 2022 van Microsoft.
https://www.microsoft.com/en-us/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/
Apple doet z'n huiswerk duidelijk te weinig en voor dat geld en de alsmaar aanhoudend duurdere apparaten moet dat beter.
12-11-2024, 08:33 door Anoniem
Door Anoniem: Ondanks dit gedoe blijft het verbazen dat er zo weinig misbruik )via ransomware) van gemaakt wordt. Hoe kan dat?

Nog wel, het kan natuurlijk wel, maar gebruikers zitten nu dan ook nog in de relatief veilige App store.
12-11-2024, 11:27 door Anoniem
Een sandbox is pas een sandbox als die de mogelijkheid biedt apps OP het systeem te draaien ipv daarin. De sandbox moet hogere rechten hebben dan de apps die daarin draaien. Gelijk aan Sandboxie voor Windows of Firejail/AppArmor voor Linux.

De onderzoeker heeft aangetoond dat die 'sandbox' GEEN sandbox is. Gelijk aan Google's Chrome en Mozilla's Firefox 'sandboxes' als gatenkaas.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.