セキュリティ研究者は先日、macOS Finderに存在する0dayの脆弱性を公開しました。この脆弱性は、リモートの攻撃者によって悪用され、ユーザーを騙してマシン上で任意のコマンドを実行される可能性があります。 macOS Finderの脆弱性により、拡張子がinetlocのファイルは、メールに埋め込まれた任意のコマンドを実行することができ、ユーザーがファイルをクリックすると、ユーザーの知らないうちにファイルに埋め込まれたコマンドが実行されてしまいます。

脆弱性の分析

脆弱性の分析macOSのinetlocファイルの処理方法に脆弱性があり、内部に埋め込まれたコマンドを実行してしまいます。実行されるコマンドはmacOSのローカルなものである可能性があり、ユーザーは警告やプロンプトなしに任意のコマンドを実行することができます。

もともとinetlocファイルは、RSSフィードやtelnetなどのインターネット上の場所へのショートカットで、サーバーのアドレスと、SSHやtelnet接続のためのユーザー名とパスワードが含まれています。テキストエディターでURLを入力し、デスクトップにドラッグすることで作成できます。

ここでのinetlocは、ローカル（ユーザーのコンピュータ）に保存されたファイルを実行することができるfile://「プロトコル」を参照しています。inetlocファイルがメールに添付されている場合、その添付ファイルをクリックすると、警告なしに脆弱性が発動します。新しいバージョンのmacOS（Big Sur以降）では、file://の接頭辞（com.apple.generic-internet-location内）がブロックされていますが、File://やfIle://がチェックをバイパスする原因となるケースマッチングが行われています。

Demo

Exploit

 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> <plist version="1.0">   <dict>     <key>URL</key>     <string>FiLe:////////////////////////System/Applications/Calculator.app</string>   </dict> </plist>

This free site is ad-supported. Learn more
​