Badacze bezpieczeństwa odkryli nową technikę eskalacji uprawnień w macOS, która może pozwolić zwykłemu użytkownikowi wyłączyć firmowe narzędzia bezpieczeństwa i wywoływać uprzywilejowane funkcje bez poświadczeń administratora.
Technika, opracowana przez badaczy z XM Cyber, wykorzystuje sposób, w jaki macOS ustanawia i weryfikuje informacje o zaufaniu do aplikacji. Wykorzystując słabości w obsłudze zaufanych komponentów aplikacji w macOS, atakujący może podszyć się pod legalne komponenty aplikacji i wchodzić w interakcję z uprzywilejowanymi usługami, które powinny być dostępne wyłącznie dla zaufanego kodu dostawcy.
W demonstracjach XM Cyber pokazała, jak za pomocą tej techniki można wyłączyć CrowdStrike Falcon EDR i Kandji MDM bez poświadczeń administratora, bez exploitów jądra i bez wywoływania alertów.
Problem uwydatnia poważną lukę w granicach zaufania aplikacji macOS, które udostępniają uprzywilejowane usługi XPC.
Czym są usługi XPC w macOS?
Usługi XPC umożliwiają aplikacjom macOS i procesom działającym w tle komunikowanie się ze sobą.
Wiele produktów bezpieczeństwa, agentów MDM i narzędzi systemowych korzysta z XPC, ponieważ potrzebują bezpiecznego sposobu, by aplikacje przeznaczone dla użytkownika mogły zlecać operacje uprzywilejowane usługom działającym w tle z uprawnieniami roota.
Te operacje uprzywilejowane mogą obejmować:
- instalowanie rozszerzeń systemowych
- wyładowywanie komponentów zabezpieczeń
- dostęp do telemetrii
- zarządzanie konfiguracją urządzeń
- stosowanie mechanizmów kontroli MDM
- interakcję z chronionymi obszarami systemu
- wykonywanie zadań administracyjnych
Ta architektura jest powszechna i często niezbędna. Opiera się jednak na jednym kluczowym założeniu: uprzywilejowana usługa XPC musi dokładnie weryfikować, czy komponent aplikacji, który wysyła żądanie, jest zaufany.
Jeśli tę weryfikację zaufania można obejść, uprzywilejowana usługa może stać się ścieżką eskalacji.
Rola CDHash
Technika koncentruje się wokół CDHash firmy Apple, kryptograficznego identyfikatora służącego do weryfikacji autentyczności aplikacji.
Teoretycznie CDHash pomaga macOS potwierdzić, że aplikacja lub komponent jest legalny i nie został zmodyfikowany.
XM Cyber stwierdziła, że gdy macOS zapisze CDHash w pamięci podręcznej, system operacyjny może nadal ufać aplikacji, nawet jeśli niektóre jej komponenty zostaną później zmodyfikowane.
Daje to atakującemu z uprawnieniami zwykłego użytkownika możliwość zmiany części zaufanej aplikacji przy jednoczesnym korzystaniu z zaufania, które macOS wcześniej z nią powiązał.
To zaufanie można następnie wykorzystać do interakcji z uprzywilejowanymi usługami XPC.
Jak działa atak
Ogólnie rzecz biorąc, atak polega na podszywaniu się pod zaufane komponenty aplikacji.
XM Cyber wykazała, że atakujący może wstrzyknąć złośliwy kod do pliku NIB wewnątrz zaufanej aplikacji macOS.
Pliki NIB to pliki zasobów interfejsu używane przez aplikacje macOS. Jeśli aplikacja zawiera pliki NIB podatne na wstrzyknięcie i udostępnia uprzywilejowane usługi XPC, atakujący może zmodyfikować komponent przeznaczony dla użytkownika, podczas gdy macOS nadal traktuje go jako zaufany.
Gdy aplikacja uzyska status zaufanej, złośliwy komponent może wywoływać uprzywilejowane funkcje XPC.
Wynikiem jest ścieżka eskalacji uprawnień, która nie wymaga:
- poświadczeń administratora
- exploita jądra
- bezpośredniej manipulacji chronionymi komponentami jądra
- oczywistych ścieżek złośliwego wykonania
Atak wykorzystuje zaufanie na poziomie warstwy aplikacji.
Wpływ na narzędzia EDR i MDM
XM Cyber użyła tej techniki do wyłączenia CrowdStrike Falcon w macOS.
Według badaczy udało im się wyładować czujnik bezpieczeństwa punktów końcowych Falcon i zneutralizować jego możliwości wykrywania zagrożeń na punktach końcowych, monitorowania procesów oraz wglądu w ruch sieciowy.
Zademonstrowali również trwałą dezaktywację Kandji MDM.
Ma to duże znaczenie, ponieważ narzędzia EDR i MDM mają chronić firmowe floty komputerów z macOS. Jeśli atakujący może wyłączyć te narzędzia z kontekstu zwykłego użytkownika, może potencjalnie stworzyć ślepy punkt, zanim przeprowadzi dalsze złośliwe działania.
Narzędzia bezpieczeństwa często polegają na usługach uprzywilejowanych, ponieważ potrzebują głębokiego wglądu w system i kontroli nad nim. Ta sama uprzywilejowana architektura może jednak stać się niebezpieczna, jeśli weryfikacja zaufania jest wadliwa.
Problem nie ogranicza się do dwóch produktów
XM Cyber podkreśliła, że problem nie ogranicza się do CrowdStrike Falcon ani Kandji.
Ta sama technika może dotyczyć innych aplikacji macOS, które:
- udostępniają uprzywilejowane usługi XPC
- opierają się na weryfikacji na podstawie CDHash
- zawierają komponenty aplikacji przeznaczone dla użytkownika z plikami NIB podatnymi na wstrzyknięcie
- nie przeprowadzają dodatkowej, solidnej weryfikacji wywołującego
W praktyce może to dotyczyć dużej części ekosystemu oprogramowania dla macOS, zwłaszcza narzędzi bezpieczeństwa, agentów zarządzania urządzeniami i firmowych narzędzi użytkowych.
Nie każda aplikacja macOS jest podatna, ale każda aplikacja używająca XPC do operacji uprzywilejowanych powinna przejrzeć swoją logikę weryfikacji.
Reakcja dostawców
Kandji usunęła problem w zaktualizowanej wersji oprogramowania swojego agenta po tym, jak XM Cyber ujawniła podatność, śledzoną jako CVE-2026-39118.
XM Cyber powiadomiła także CrowdStrike. Według badaczy CrowdStrike szybko naprawiła problem, wypłaciła nagrodę (bounty) oraz dodała wykrywanie i zapobieganie w obsługiwanych wersjach czujnika Falcon dla macOS.
CrowdStrike oświadczyła, że technika wykorzystuje problem w macOS i że dla Falcon wdrożono już zabezpieczenia.
Stanowisko XM Cyber jest takie, że pierwotna przyczyna leży w samym macOS, ponieważ aplikacje korzystające z udostępnianej przez Apple funkcjonalności XPC mogą być narażone. Badacze twierdzą, że Apple nie zamierza usuwać tego zachowania u podstaw, co oznacza, że dotknięci dostawcy muszą wdrożyć własne zabezpieczenia.
Dlaczego to problem architektoniczny
Kluczowy wniosek jest taki, że uprzywilejowane usługi XPC nie mogą polegać wyłącznie na płytkich lub buforowanych kontrolach zaufania.
Uprzywilejowana usługa działająca jako root nie powinna po prostu zakładać, że wywołujący jest bezpieczny dlatego, że macOS wcześniej zaufał tożsamości aplikacji.
Zamiast tego powinna egzekwować silną, wielowarstwową weryfikację.
Może ona obejmować:
- weryfikację podpisu kodu w momencie żądania
- walidację identyfikatorów zespołu (team identifiers)
- sprawdzanie stanu hardened runtime
- weryfikację integralności pakietu (bundle)
- walidację dokładnych ścieżek plików wykonywalnych
- potwierdzanie uprawnień (entitlements)
- sprawdzanie tożsamości wywołującego za pomocą bezpiecznych interfejsów API
- ograniczanie liczby udostępnianych funkcji uprzywilejowanych
- wymaganie wyraźnej autoryzacji dla operacji wysokiego ryzyka
- rejestrowanie wrażliwych żądań
Im potężniejsza funkcja XPC, tym ściślejsza powinna być weryfikacja.
XPC Hunter: narzędzie do znajdowania podobnych problemów
XM Cyber opracowała open source'owe narzędzie badawcze oparte na LLM o nazwie XPC Hunter.
Narzędzie ma pomagać badaczom w identyfikowaniu i weryfikowaniu możliwych do wykorzystania podatności na eskalację uprawnień przez XPC w aplikacjach macOS.
XM Cyber planuje udostępnić XPC Hunter podczas konferencji Black Hat USA w sierpniu.
Firma opisała to narzędzie jako przeznaczone do autoryzowanych badań, weryfikacji i demonstracji w środowiskach, w których badacze są właścicielami testowanych aplikacji lub mają zgodę na ich testowanie.
Jego udostępnienie może pomóc dostawcom znajdować i naprawiać podobne problemy, ale może też zwrócić większą uwagę na granice zaufania XPC w całym ekosystemie macOS.
Dlaczego przedsiębiorstwa powinny się tym przejmować
macOS jest szeroko stosowany w środowiskach firmowych, zwłaszcza wśród programistów, kadry zarządzającej, zespołów kreatywnych, zespołów bezpieczeństwa i pracowników zdalnych.
Wiele organizacji polega na narzędziach EDR i MDM, aby egzekwować mechanizmy kontroli na komputerach Mac.
Jeśli atakujący mogą wyłączyć te narzędzia bez poświadczeń administratora, przedsiębiorstwo traci wgląd w punkt końcowy i kontrolę nad nim.
Może to umożliwić:
- ukrytą trwałość w systemie
- kradzież poświadczeń
- eksfiltrację danych
- obejście zgodności urządzeń
- wyłączenie monitorowania punktów końcowych
- uniknięcie reakcji na incydenty
- przemieszczanie się lateralne ze stacji roboczych programistów
- manipulowanie konfiguracjami zabezpieczeń
Skompromitowany komputer Mac używany przez programistę lub administratora może stać się poważnym ryzykiem dla przedsiębiorstwa.
Zalecenia dla dostawców rozwiązań bezpieczeństwa
Dostawcy tworzący aplikacje macOS z uprzywilejowanymi usługami XPC powinni niezwłocznie przejrzeć swoją logikę weryfikacji zaufania.
Zalecane działania obejmują:
- audyt wszystkich uprzywilejowanych usług XPC
- ustalenie, którzy klienci mogą wywoływać funkcje uprzywilejowane
- unikanie opierania się wyłącznie na buforowanym zaufaniu CDHash
- dynamiczną weryfikację podpisu kodu
- weryfikację dokładnej tożsamości wywołującego i jego uprawnień (entitlements)
- unikanie ładowania wrażliwej logiki z plików NIB podatnych na wstrzyknięcie
- utwardzanie komponentów przeznaczonych dla użytkownika
- ograniczenie operacji na poziomie roota do możliwie najmniejszego zestawu
- rejestrowanie uprzywilejowanych wywołań XPC i alertowanie o nich
- testowanie pod kątem podszywania się pod wywołującego
- przeprowadzanie testów granic XPC w stylu red team
Dostawcy rozwiązań bezpieczeństwa powinni zakładać, że lokalni atakujący mogą próbować modyfikować niechronione komponenty aplikacji.
Zalecenia dla obrońców w przedsiębiorstwach
Firmowe zespoły bezpieczeństwa powinny dopilnować, aby agenci bezpieczeństwa i MDM dla macOS byli w pełni zaktualizowani.
Zalecane działania obejmują:
- aktualizację agentów CrowdStrike Falcon i Kandji do wersji z poprawkami
- potwierdzenie, że środki zaradcze specyficzne dla dostawców są włączone
- monitorowanie nieoczekiwanego wyładowywania komponentów EDR lub MDM
- alertowanie o zmianach w pakietach aplikacji agentów bezpieczeństwa
- wykrywanie podejrzanych modyfikacji plików NIB
- monitorowanie wywołań uprzywilejowanych usług XPC, gdzie to możliwe
- badanie nagłej utraty telemetrii z punktów końcowych
- uniemożliwienie zwykłym użytkownikom modyfikowania chronionych katalogów aplikacji
- ograniczenie lokalnego dostępu do zapisu dla komponentów narzędzi bezpieczeństwa
- weryfikację zgodności urządzeń za pomocą wielu sygnałów
- przeglądanie logów macOS pod kątem nietypowej aktywności wyładowywania usług
Jeśli agent bezpieczeństwa znika, przestaje raportować lub zostaje nieoczekiwanie wyłączony, traktuj to jako możliwy wskaźnik kompromitacji.
Dlaczego „bez uprawnień administratora” ma znaczenie
Wiele modeli bezpieczeństwa punktów końcowych zakłada, że zwykli użytkownicy mają ograniczone możliwości wyłączania firmowych mechanizmów kontroli.
Ta technika podważa to założenie.
Jeśli kontekst zwykłego użytkownika można wykorzystać do wywoływania operacji uprzywilejowanych przez zaufane kanały XPC, atakujący nie muszą najpierw kraść poświadczeń administratora.
To obniża barierę dla działań po przejęciu konta.
Atakujący, który przejmie zwykłe konto użytkownika przez phishing, złośliwe oprogramowanie lub exploit przeglądarki, mógłby potencjalnie wyłączyć zabezpieczenia, zanim zacznie eskalować uprawnienia dalej.
To sprawia, że ta klasa podatności jest szczególnie istotna dla środowisk firmowych.
Podsumowanie
Technika eskalacji uprawnień przez XPC w macOS ujawniona przez XM Cyber pokazuje, jak granice zaufania aplikacji mogą zawodzić w subtelny, ale niebezpieczny sposób.
Wykorzystując buforowanie CDHash i komponenty aplikacji podatne na wstrzyknięcie, zwykły użytkownik może być w stanie podszyć się pod zaufany kod i wywoływać uprzywilejowane funkcje bez poświadczeń administratora.
Demonstracje przeciwko CrowdStrike Falcon i Kandji MDM pokazują potencjalne skutki: wyłączenie narzędzi, na których przedsiębiorstwa polegają przy zabezpieczaniu flot komputerów z macOS.
Szerszy wniosek jest jasny. Uprzywilejowane usługi XPC muszą egzekwować silną weryfikację w stylu po stronie serwera dla każdego wywołującego i każdego wrażliwego działania. Buforowane zaufanie nie wystarcza.
Dla dostawców oznacza to utwardzanie interfejsów XPC. Dla przedsiębiorstw oznacza to aktualizowanie agentów bezpieczeństwa dla macOS, monitorowanie prób manipulacji narzędziami i traktowanie nieoczekiwanej utraty wglądu w punkty końcowe jako sygnału o wysokim priorytecie.
Bezpieczeństwo macOS zależy nie tylko od silnych mechanizmów kontroli platformy, ale także od tego, jak aplikacje egzekwują zaufanie na każdej uprzywilejowanej granicy.
