微软披露macOS平台上的Shrootless漏洞 相关补丁已可用

（来自：Microsoft 365 Defender Research Team）

微软指出，Shrootless 漏洞可被恶意攻击者利用，以绕过操作系统的系统完整性保护（SIP），进而执行任意代码。

与此同时，微软安全团队发现了一种用于提权的新型攻击技术。简单翻阅该公司的博客文章后，可知问题主要归咎于“由苹果签名、并具有安装后脚本的软件包”的安装方式。

通过创建可劫持安装过程的自定义软件包，攻击者便可利用该机制来达成恶意目的。

比如在绕过 SIP 防护措施后，攻击者能够安装 rootkit 和无法检测的恶意软件、甚至覆盖系统文件而不被 SIP 给阻止。

在某些情况下，软件包需要访问受 SIP 保护的目录，比如系统更新。

可知苹果为此类软件包分配了一些特权（com.apple.rootless.install 和 com.apple.rootless.install.inheritable），但它们同样也可被利用来绕过 SIP 。

在评估有权绕过 SIP 保护的 macOS 进程时，微软安全团队发现了守护进程 system_installd 具有强大的 com.apple.rootless.install.inheritable 权限。

在此基础上，攻击者便可利用 system_installd 的任何子进程，来完全绕过 SIP 文件系统限制。

借助 Microsoft Defender for Endpoint 的后入侵组件（post-breach component），安全团队决定检查 system_installd 的所有子进程。

结果让他们感到十分震惊，因为其中一些可能允许攻击者滥用、并绕过 SIP 。比如在安装苹果签名的 .pkg 包时，它就会调用 system_installed 并负责安装前者。

但若软件包中含有任何安装后脚本，则 system_installd 会通过调用默认 shell（在 macOS 上为 zsh）来运行它们。

有趣的是，当 zsh 启动时，它会查找文件 /etc/zshenv 。如果找到，哈辉自动从该文件运行命令 —— 即使在非交互模式下也是如此。

所以对于潜在的攻击者来说，他们在设备上执行任意操作的最可靠路径，就就是创建恶意的 /etc/zshenv 文件，然后等待 system_installd 来调用 zsh 。

更糟糕的是，微软还发现 zshenv 可作为通用攻击模式，而不仅仅是 Shrootless —— 滥用此 shell 或导致特权提升。

庆幸的是，作为协调漏洞披露（CVD）流程的一部分，微软与苹果私下分享了其调查结果。后者承认了这个问题，并于 2021 年 10 月 26 日向公众发布了漏洞修复补丁。

在 macOS Monterey、Catalina 和 Big Sur 的安全补丁说明中，苹果还强调了微软对此做出的贡献。有关详情，还请查看 CVE-2021-30892 安全公告。