Dua eksploitasi yang berbeda untuk kerentanan ketinggian hak istimewa desktop paralel yang tidak ditandingi telah diungkapkan secara publik, memungkinkan pengguna untuk mendapatkan akses root pada perangkat Mac yang terkena dampak.
Parallels Desktop adalah perangkat lunak virtualisasi yang memungkinkan pengguna Mac untuk menjalankan Windows, Linux, dan sistem operasi lainnya bersama macOS. Ini sangat populer di kalangan pengembang, bisnis, dan pengguna biasa yang membutuhkan aplikasi Windows di Mac mereka tanpa me -reboot.
Peneliti Keamanan Mickey Jin menerbitkan eksploitasi minggu lalu, menunjukkan bypass perbaikan vendor untuk CVE-2024-34331cacat ketinggian hak istimewa ditetapkan pada bulan September.
Cacat itu, pertama kali ditemukan pada Mei 2024 Oleh Mykola Grymalyukberasal dari kurangnya verifikasi tanda tangan kode di desktop paralel untuk Mac.
Jin mengatakan dia merilis eksploitasi untuk bypass patch nol-day setelah pengembang diduga meninggalkannya selama lebih dari tujuh bulan.
“Mengingat bahwa vendor telah meninggalkan kerentanan ini tanpa penanganan selama lebih dari tujuh bulan-meskipun pengungkapan sebelumnya-saya telah memilih untuk secara terbuka mengungkapkan eksploitasi 0 hari ini,” jelas Jin dalam a Tulisan teknis.
“Tujuan saya adalah untuk meningkatkan kesadaran dan mendesak pengguna untuk mengurangi risiko secara proaktif, karena penyerang dapat memanfaatkan cacat ini di alam liar.”
Memastikan perbaikan paralel
Paralels ‘Patch Asli berusaha untuk mencegah eksekusi kode yang tidak dipercaya dengan memverifikasi apakah alat’ CreateInstallmedia ‘ditandatangani Apple sebelum memberikannya hak istimewa root.
Namun, Jin menunjukkan bahwa verifikasi ini cacat, memungkinkan penyerang untuk melewati setidaknya dalam dua cara.
Yang pertama adalah melakukan serangan waktu untuk serangan waktu-penggunaan (TOCTOU) untuk mengeksploitasi kondisi balapan antara memeriksa jika ‘createinstallmedia’ ditandatangani Apple dan mengeksekusi dengan hak istimewa root.
Seorang penyerang menjatuhkan penginstal macOS palsu, menunggu paralel untuk memverifikasi biner ‘createinstallmedia’ yang ditandatangani oleh apel, dan kemudian dengan cepat menggantinya dengan skrip berbahaya sebelum dieksekusi, mendapatkan hak istimewa.
Eksploitasi kedua adalah serangan melalui fungsi ‘do_repack_manual’ yang rentan terhadap file root-own sewenang-wenang menimpa.
Dengan memanipulasi fungsi ‘do_repack_manual’, seorang penyerang mengarahkan folder istimewa menggunakan symlink, trik sejajar dengan menulis file yang dikendalikan oleh penyerang ke jalur yang dimiliki root, dan menggantikan ‘p7z_tool,’ yang dieksekusi sebagai root.
Status tambalan
Jin menemukan potensi bypass segera setelah membaca tulisan Mykola dan memberi tahu paralel pada Juni 2024.
Peneliti mengatakan vendor berjanji untuk melihat ke dalam laporannya, tetapi meskipun tiga permintaan berikutnya untuk pembaruan (yang terakhir adalah pada 19 Februari 2025), paralel tidak merespons.
Peneliti memperingatkan bahwa eksploitasi pertamanya, yang melibatkan serangan Toctou, bekerja pada versi paralel terbaru, 20.2.1 (55876), dan semua versi dari 19.4.0 dan lebih tua.
Paralel memodifikasi proses pengemasan ulang dalam versi 19.4.1, beralih dari ‘do_repack_createinstallmedia’ ke ‘do_repack_manual,’ melanggar eksploitasi.
Namun, perubahan ini memperkenalkan kerentanan baru yang memungkinkan penyerang untuk menimpa file yang dimiliki oleh root yang sewenang-wenang, memungkinkan eksploitasi kedua.
Perubahan dikembalikan dalam versi terbaru (20.2.1), sehingga eksploitasi sekarang berfungsi lagi.
Sebagai kesimpulan, semua versi desktop paralel yang diketahui, termasuk yang terbaru, rentan terhadap setidaknya satu eksploitasi.
BleepingComputer telah menghubungi paralel yang meminta komentar tentang temuan dan laporan Jin, tetapi pernyataan tidak segera tersedia.
