CVE-2024-27301
Təsvir
Support App, Apple cihazlarının idarə edilməsi üçün ixtisaslaşmış açıq mənbəli tətbiqdir. Postinstall quraşdırma skriptindəki zəiflikdən istifadə edərək quraşdırıcının root səlahiyyətləri ilə ixtiyari kodu icra etməsi mümkündür. Zəifliyin səbəbi `#!/bin/zsh` shebang-inin istifadə edilməsidir. Quraşdırıcı işə salındıqda, root olaraq icra edilmək üçün istifadəçinin şifrəsini tələb edir. Lakin o, hələ də istifadəçinin $HOME dəyişənindən istifadə edir və buna görə də `postinstall` skripti icra olunarkən `$HOME/.zshenv` faylını yükləyir. Hücumçu `$HOME/.zshenv` faylına zərərli kod əlavə edə bilər və bu kod tətbiq quraşdırılarkən icra olunacaqdır. Hücumçu sistemdə imtiyazların yüksəldilməsi üçün bu zəiflikdən yararlana bilər. Bu problem 2.5.1 Rev 2 versiyasında aradan qaldırılmışdır. Bütün istifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum olan heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
- root3 support_app2.5.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| root3 support_app | 2.3.1 ≤ v < 2.5.1 | 2.5.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.