CVE-2022-22616:
Simple way to bypass GateKeeper
本文介绍一种非常简单的绕过GateKeeper的方法。Apple 已经在 macOS Monterey 12.3 中为其分配CVE编号CVE-2022-22616。该漏洞由Ferdous Saljooki (@malwarezoo) , Jaron Bradley (@jbradley89) , Mickey Jin (@patch1t)三位研究员提出。请确保您已将 Mac 设备更新到最新版本。
Root Cause
通过文件监控，发现进程
/Applications/Safari.app/Contents/XPCServices/com.apple.Safari.SandboxBroker.xpc/Contents/MacOS/com.apple.Safari.SandboxBroker提取调用堆栈：
从私有框架SafariShared中找到了易受攻击的函数
__42__WBSDownloadFileGZipUnarchiver_unarchive__block_invoke
在第66行，它直接将解压后的数据写入dstPath，忘记设置扩展属性
com.apple.quarantinePatch
Apple 在 macOS 12.3 中解决了这个问题。
Demo Video
PoC后台回复CVE-2022-22616获取
本文翻译自Mickey's Blogs：
https://jhftss.github.io/CVE-2022-22616-Gatekeeper-Bypass/
（点击阅读原文跳转）
【往期推荐】
【超详细 | Python】CS免杀-Shellcode Loader原理(python)
【超详细 | 钟馗之眼】ZoomEye-python命令行的使用
【超详细 | 附EXP】Weblogic CVE-2021-2394 RCE漏洞复现
【超详细】CVE-2020-14882 | Weblogic未授权命令执行漏洞复现
【超详细 | 附PoC】CVE-2021-2109 | Weblogic Server远程代码执行漏洞复现
【漏洞分析 | 附EXP】CVE-2021-21985 VMware vCenter Server 远程代码执行漏洞
【CNVD-2021-30167 | 附PoC】用友NC BeanShell远程代码执行漏洞复现
【奇淫巧技】如何成为一个合格的“FOFA”工程师
【超详细】Microsoft Exchange 远程代码执行漏洞复现【CVE-2020-17144】
【漏洞速递+检测脚本 | CVE-2021-49104】泛微E-Office任意文件上传漏洞
走过路过的大佬们留个关注再走呗
往期文章有彩蛋哦
一如既往的学习，一如既往的整理，一如即往的分享
“如侵权请私聊公众号删文”
推荐阅读↓↓↓
我知道你在看哟
原文始发于微信公众号（渗透Xiao白帽）：【CVE-2022-22616 | 附POC】MacOS绕过GateKeeper 的简单方法
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论