AppleがmacOS High Sierraから導入するカーネル拡張KEXTの新しいセキュリティ「SKEL」にゼロデイ脆弱性が発見される。

　AppleがmacOS High Sierraから導入するカーネル拡張KEXTの新しいセキュリティ「SKEL」にゼロデイ脆弱性が発見されたそうです。詳細は以下から。

　Appleは次期macOS 10.13 High Sierraでサードパーティ製カーネル拡張KEXTのロードを抑制する新しいセキュリティ機能「Secure Kernel Extension Loading [1, 2] (以下, SKEL)」を導入しますが、元NSAでmacOSの脆弱性解析を行っていたPatrick Wardleさんによると、このSKELをバイパスすることが出来るゼロデイ脆弱性が発見されたそうです。

SKELによりブロックされたAppleのKEXT

I decided to poke on SKEL’s implementation (in the latest beta release of High Sierra) and unfortunately found an exploitable 0day vulnerability that allows me to completely bypass it – rendering it effectively useless.

New Blog Post: High Sierra's 'Secure Kernel Extension Loading' is Broken – Patreon

　Patrickさんの公開した動画には最新の「macOS High Sierra 10.13 beta 9 (17A360a)」でKextのステータスに度々悪意のあるユーザーの標的となっている”Little Snitch“のKextが記載されていない状態から”bypassSKEL”スクリプトを実行するだけで、SKELをバイパスし、kextloadで”LittleSnitch.kext”を認証なしに読み込む様子が映っています。

While at this time I cannot release technical details of the vulnerability, here’s a demo of a full SKEL bypass. As can be seen below in the iTerm window below, after dumping the version of the system (High Sierra, beta 9) and showing that SIP is enabled and that kernel extension we aiming to load (LittleSnitch.kext) is not loaded,

High Sierra’s ‘Secure Kernel Extension Loading’ is Broken – Objective-See

　High SierraはまだBeta版段階のためGMやリリース版でこの脆弱性が修正される可能性はありますが、Patrickさんは現在確認できた脆弱性の一部をブログに公開しているので、興味のある方はチェックしてみて下さい。

• High Sierra’s ‘Secure Kernel Extension Loading’ is Broken – Objective-See
• New Blog Post: High Sierra's 'Secure Kernel Extension Loading' is Broken – Patreon