駭客繞過 Gatekeeper 攻擊 macOS Archive Utility 的漏洞

全球知名 MDM 廠商 Jamf 發現 macOS Monterey 12.5 中的安全漏洞，駭客可以藉此使用特定的終端命令，將惡意的應用程式放入 ZIP 文件中，透過 Safari 繞過安全漏洞。

不僅如此，Jamf 更是發現帶有漏洞 CVE-2022-32910 類似命令的 Archive Utility （BOM 存檔工具）在建立 Apple Archive（Apple 的專有格式 “.aar”，可進行無損壓縮） 時，可以繞過 Gatekeeper 並在使用者點擊打開資料時繞過所有安全檢查。

威脅是如何透過 Safari 繞過安全漏洞的？

Jamf 表示，當檔案從網路上下載時，正常會被添加一個名為「 com.apple.quarantine 的獨特屬性」，會告知檔案已從遠端來源被下載，接著 Archive Utility 讀取檔案時，會將隔離的屬性套用在所有被讀取項目，並接受安全機制檢查。

因此，Jamf 團隊做了一個實驗：

1. 將一個圖片檔添加到「系統 com.apple.quarantine 」平常執行的地方之外，這樣就不會被 Archive Utility 讀取。
2. 因為沒有被讀取，想當然該圖片檔案也不會被給予「com.apple.quarantine 的獨特屬性」。
3. 最後 Gatekeeper 就不會檢查該圖片檔案。
4. 而駭客就是將上述例子中的圖片檔案，改成塞滿大量病毒的檔案，來攻擊使用者電腦。

慶幸的是，目前此漏洞已經被 Apple 修復，如果使用者想避免以上狀況發生，那就讓裝置隨時保持在最新版本。

你的下一步

如果企業 / 教育機構想進一步提升安全性，與 Apple 作業系統同步前進的 Jamf 在設備管理、身份識別、端點安全等方面都能協助，並有著 Jamf Protect 及系列資安防護服務，提供企業/組織最新最完善的保障。

想了解更多，歡迎與我們諮詢。

原文連結：https://appleinsider.com/articles/22/10/06/flaw-in-macos-archive-utility-could-let-attackers-bypass-gatekeeper