تتعرض العديد من تطبيقات Microsoft المصممة خصيصًا لنظام التشغيل macOS من Apple لخطر التخريب من قبل جهات ضارة، وفقًا لـ بحث نشرته شركة سيسكو تالوس.
اكتشف الباحث في شركة Talos، فرانشيسكو بينفينوتو، ثماني نقاط ضعف في تطبيقات مايكروسوفت واسعة الاستخدام، بما في ذلك Excel وOneNote وOutlook وPowerPoint وTeams وWord.
إذا تم استغلال هذه العيوب، فإنها ستمكن الجهة المهددة من الاستفادة من إعدادات أذونات Apple لحقن مكتبات ضارة في التطبيقات المعرضة للخطر والحصول على السيطرة على حقوقها وأذونات المستخدم.
“تنظم الأذونات ما إذا كان التطبيق قادرًا على الوصول إلى الموارد مثل الميكروفون والكاميرا والمجلدات وتسجيل الشاشة وإدخال المستخدم والمزيد. لذا، إذا تمكن أحد الخصوم من الوصول إلى هذه الموارد، فقد يتسبب في تسريب معلومات حساسة أو في أسوأ الأحوال، تصعيد الامتيازات”، كما كتب بينفينوتو.
كيف يعمل
يعتمد نطاق المشكلة على كيفية تعامل نظام التشغيل macOS مع أذونات تطبيقات الطرف الثالث. عادةً، تقوم أنظمة التشغيل بتأسيس هذه السياسات على مبادئ التحكم في الوصول التقديري (DAC)، ولكن هذا يوفر حماية محدودة للغاية ضد البرامج الضعيفة أو البرامج الضارة التي تعمل بامتيازات المستخدم أو الجذر.
لذلك تذهب Apple إلى أبعد من ذلك، حيث تعمل على تأمين الوصول إلى بعض الموارد باستخدام آلية تسمى الشفافية والموافقة والتحكم (TCC)، والذي يتطلب من التطبيقات الحصول على موافقة بشرية صريحة قبل الوصول إلى الأشياء المحمية مثل الميكروفون والكاميرا وما إلى ذلك.
تظهر آلية الموافقة هذه للمستخدم في شكل نافذة منبثقة، وهو أمر مألوف لدى معظم مالكي أجهزة Mac. ثم يتم تسجيل هذا القرار للرجوع إليه في المستقبل، ويمكن تغييره عبر إعدادات الخصوصية والأمان في الجهاز في المستقبل إذا أردت ذلك.
الآن، يتضمن نظام macOS أيضًا أحكامًا لوقف حقن التعليمات البرمجية من خلال مطالبة التطبيقات الموزعة من خلال App Store بالخضوع لـ sandboxing، مما يقيد الوصول إلى الموارد التي يطلبها التطبيق صراحةً من خلال الاستحقاقات – بعضها يحكمه أيضًا نافذة موافقة المستخدم المنبثقة.
على سبيل المثال، أوضح بينفينوتو أن التطبيق الذي تم وضعه في بيئة محمية بشكل صحيح سيطالب بالوصول إلى الكاميرا فقط إذا تم تعيين صلاحية الكاميرا على “true”. إذا لم يكن هذا الصلاحية موجودًا، فلن يُسمح به، ولن يرى المستخدم أبدًا نافذة منبثقة.
التطبيقات الموثقة – تلك التي تم فحصها بواسطة ماسحات Apple بحثًا عن مكونات مشبوهة – مطلوبة أيضًا لتمكين وقت تشغيل معزز لجعلها أكثر مقاومة لحقن التعليمات البرمجية.
يجب على هذه التطبيقات، التي تشمل جميع تطبيقات Microsoft التي تقع ضمن نطاق البحث، والتي قد تحتاج إلى تنفيذ إجراءات ذات مخاطر أعلى مثل تحميل مكتبة غير موثوقة، أن تعلن عن هذه النية من خلال حقوقها. في هذه الحالة، يحتاج مطوروها إلى تعيين حقوق تعطيل التحقق من صحة المكتبة على “true”.
بشكل عام، من المفترض أن تعمل هذه الميزات معًا لتوفير حماية معززة لمستخدمي Mac، ومع ذلك، إذا تمكن المهاجم من حقن مكتبة تعليمات برمجية ضارة في مساحة عملية تطبيق قيد التشغيل، فيمكن للمكتبة بعد ذلك استخدام جميع الأذونات التي تم منحها لها.
وبالتالي، وكما أثبت البحث، فإن تطبيقات Microsoft المعنية تصبح عرضة للخطر إذا قامت بتحميل مكتبة قام أحد الجهات المهددة باختراقها.
التعامل المسؤول
وأضاف بينفينوتو أن نموذج أبل لكي يكون فعالاً وآمناً حقاً يعتمد على التطبيقات التي تتعامل مع أذوناتها بطريقة مسؤولة.
“يعتمد نظام التشغيل MacOS على التطبيقات في مراقبة أذوناتها ذاتيًا. ويؤدي الفشل في هذه المسؤولية إلى خرق نموذج الأذونات بالكامل، حيث تعمل التطبيقات عن غير قصد كوكلاء لإجراءات غير مصرح بها، وتتحايل على TCC وتهدد نموذج أمان النظام. وهذا يسلط الضوء على أهمية قيام التطبيقات بتنفيذ تدابير أمنية قوية لتجنب أن تصبح ناقلات للاستغلال.”
وواصل بنفينوتو حديثه قائلاً إن تطبيقات Microsoft يبدو أنها تستخدم حق التحقق من صحة المكتبة لدعم المكونات الإضافية، وهو ما يعني المكونات الإضافية التي يوقع عليها مطورون تابعون لجهات خارجية، ولكن في هذه الحالة يبدو الأمر وكأنه يشير فقط إلى المكونات الإضافية لبرنامج Office الخاص بشركة Microsoft. وقال إن هذا أثار المزيد من الأسئلة حول سبب اضطرار Microsoft إلى تعطيل التحقق من صحة المكتبة على الإطلاق إذا لم يكن من المتوقع ظهور أي مكتبات خارجية.
“من خلال استخدام هذا الحق، تتحايل مايكروسوفت على الضمانات التي يوفرها وقت التشغيل المعزز، مما قد يعرض مستخدميها لمخاطر غير ضرورية”، كما كتب.
ثماني نقاط ضعف
تم تعيين التسميات التالية للمشاكل التي وصفها فريق Cisco Talos:
- CVE-2024-39804 في Microsoft PowerPoint؛
- CVE-2024-41138 في Microsoft Teams (العمل أو المدرسة) com.microsoft.teams2.modulehost.app؛
- CVE-2024-41145 في تطبيق مساعد Microsoft Teams (العمل أو المدرسة) WebView.app؛
- CVE-2024-41159 في Microsoft OneNote؛
- CVE-2024-41165 في Microsoft Word؛
- CVE-2024-42004 في Microsoft Teams (العمل أو المدرسة)؛
- CVE-2024-42220 في Microsoft Outlook؛
- وCVE-2024-43106 في Microsoft Excel.
وفقًا لبينفينوتو، قالت مايكروسوفت إنها تعتبر هذه المشكلات منخفضة المخاطر، ويُقال إنها رفضت إصلاح بعضها لأن التطبيقات تحتاج إلى السماح بتحميل المكتبات غير الموقعة لدعم الوظائف الإضافية لـ Office.
في وقت كتابة هذه المقالة، تمت إزالة الاستحقاق الإشكالي لكل من Teams وOneNote ولم يعدا عرضة للاستغلال. لكن لا تزال البرامج الأخرى معرضة للخطر.
