據BleepingComputer消息，蘋果最近解決了一個由微軟發現的macOS系統漏洞，該漏洞允許擁有 root 權限的攻擊者繞過系統完整性保護 (SIP)以安裝不可刪除的惡意軟件，并通過規避透明度同意和控制 (TCC) 安全檢查來訪問受害者的私人數據。

該漏洞被稱為Migraine ，由一組微軟安全研究人員發現并報告給蘋果，現在被追蹤為CVE-2023-32369。蘋果已在兩周前的 5 月 18 日發布的macOS Ventura 13.4、macOS Monterey 12.6.6和macOS Big Sur 11.7.7安全更新中修補了該漏洞。

系統完整性保護 (SIP)是一種 macOS 安全機制，可通過對根用戶帳戶及其在操作系統受保護區域內的功能施加限制來防止潛在的惡意軟件更改某些文件夾和文件，其運作原則是只有由 Apple 簽名或擁有特殊權限的進程（例如 Apple 軟件更新和安裝程序）才被授權更改受 macOS 保護的組件。

此外，如果不重新啟動系統并啟動 macOS Recovery（內置恢復系統），就無法禁用 SIP，這需要對已經受損的設備進行物理訪問。

然而，微軟的研究人員發現，擁有 root 權限的攻擊者可以通過濫用 macOS 遷移助手實用程序來繞過 SIP 安全實施。研究證明，擁有 root 權限的攻擊者可以使用 AppleScript 自動執行遷移過程，并在將其添加到 SIP 的排除列表后啟動惡意負載，而無需重新啟動系統和從 macOS Recovery 啟動。

任意繞過 SIP 會帶來重大風險，尤其是在被惡意軟件利用時，包括創建無法通過標準刪除方法刪除的受 SIP 保護的惡意軟件。此外攻擊面也得到擴大，并可能允許攻擊者通過任意內核代碼執行來篡改系統完整性，并可能安裝 rootkit 以隱藏安全軟件中的惡意進程和文件。

繞過 SIP 保護還可以完全繞過TCC 策略，使威脅行為者能夠替換 TCC 數據庫并獲得對受害者私人數據的無限制訪問權限。

已非第一次發現macOS 漏洞

這不是微軟研究人員近年來報告的第一個此類 macOS 漏洞。2021 年，微軟報告了一個名為Shrootless 的 SIP 繞過漏洞，允許攻擊者在受感染的 Mac 上執行任意操作，將權限提升為 root，并可能在易受攻擊的設備上安裝 rootkit。

最近，微軟首席安全研究員 Jonathan Bar Or 還發現了一個名為 Achilles 的安全漏洞，攻擊者可以利用該漏洞繞過 Gatekeeper對不受信任應用的限制，以此來部署惡意軟件。他還發現了另一個名為powerdir的漏洞，可以讓攻擊者繞過TCC來訪問用戶的受保護數據。