Apple macOS Çekirdek Açığı, Saldırganların Ayrıcalıkları Yükseltmesine İzin Veriyor – PoC Şimdi Mevcut

05.02.2025

Yeni ifşa edilen bir macOS çekirdek açığı, CVE-2025-24118 olarak izleniyor ve saldırganların ayrıcalıkları yükseltmesine, belleği bozmasına ve çekirdek seviyesinde kod çalıştırmasına olanak tanıyabilir. Bu açık, macOS Sonoma 14.7.3 öncesi sürümleri, macOS Sequoia 15.3 öncesi sürümleri ve iPadOS 17.7.4 öncesi sürümleri etkiliyor. MIT CSAIL’den güvenlik araştırmacısı Joseph Ravichandran (@0xjprx) tarafından tespit edilen bu açık, kullanılabilirliğini göstermek için bir Kanıt-Konsept (PoC) istismarıyla birlikte yayınlandı.

Açık, Apple’ın XNU çekirdeğinde bir yarış durumu nedeniyle ortaya çıkmaktadır ve özellikle Safe Memory Reclamation (SMR), salt okunur sayfa haritalaması, iş parçacığı başına kimlik bilgileri ve memcpy fonksiyonunun güvensiz kullanımıyla ilişkilidir. Kimlik bilgisi güncellemelerinde uygun bir senkronizasyon eksikliği, süreç kimlik bilgilerini değiştirerek ayrıcalık yükseltmeye yol açabilecek bir durum yaratır. memcpy. A lack of proper synchronization in credential updates creates a scenario where non-atomic writes can lead to privilege escalation by modifying process credentials.

Sorunun kaynağı, kauth_cred_proc_update fonksiyonudur; bu fonksiyon proc_ro.p_ucred göstergesini, zalloc_ro_mut fonksiyonunu kullanarak uygunsuz bir şekilde günceller ve bu fonksiyon memcpy'ye dayanır. Memcpy fonksiyonu x86_64 sistemlerinde atomik olmadığı için, eşzamanlı okuma ve yazma işlemleri, kısmi olarak güncellenmiş göstergelerin oluşmasına yol açabilir, bu da beklenmedik davranışa, kimlik bilgisi bozulmasına veya çekirdek paniklerine neden olabilir. PoC istismarı, grup kimliklerini (setgid) hızla değiştirerek ve onları okurken (getgid) bu yarış durumunu tetikler. kauth_cred_proc_update function, which improperly updates the proc_ro.p_ucred pointer using zalloc_ro_mut, a function that relies on memcpy. Since memcpy is not atomic on x86_64 systems, concurrent reads and writes can result in partially updated pointers, leading to unexpected behavior, credential corruption, or even kernel panics. The PoC exploit demonstrates this by rapidly changing group IDs (setgid) while reading them (getgid) to trigger the race condition.

Şu an itibarıyla, Apple bu açık için bir yama yayınlamamıştır. Kullanıcılara, güvenilmeyen kodların çalıştırılmasından kaçınılması ve yaklaşan güvenlik güncellemeleri konusunda dikkatli olmaları tavsiye edilmektedir. Araştırmacı, SMR ile korunan göstergeleri güncellerken atomik işlemlerin kullanılmasını önererek, istenmeyen bellek erişimlerinin önüne geçilebileceğini belirtmektedir. proc_ro.p_ucred, preventing unintended memory access.

Bu keşif, modern işletim sistemlerinde yarış durumlarının tehlikelerini vurgulamaktadır; çünkü hatalı bellek yönetimi ciddi güvenlik sorunlarına yol açabilir. Apple, bu açığı giderene kadar, kullanıcıların dikkatli olmaları ve potansiyel olarak kötü amaçlı yazılımlara karşı korunmaları önemlidir.