韓國大學的安全研究人員近期發現了一種網路攻擊，可成功繞過運行在Apple Silicon 處理器上的macOS上的核心位址空間佈局隨機化 (KASLR)註。這次攻擊被稱為「SysBumps」，利用macOS系統呼叫中的推測執行漏洞，允許非特權攻擊者推斷核心位址並擊敗 macOS最基本的安全防禦之一。此漏洞編號為CVE-2024-54531，可讓應用程式繞過KASLR，從而有效地揭示核心的記憶體佈局。該缺陷利用了系統呼叫期間的推測執行，這是Apple核心隔離實作中以前未被利用的弱點。

KASLR（kernel address space layout randomization）是一種關鍵的核心強化機制，它可以隨機化記憶體位址，以防止攻擊者輕易找到關鍵系統結構。Apple已透過核心隔離為 Apple Silicon增強macOS中的KASLR，將使用者空間和核心空間位址佈局分開。然而，SysBumps 利用系統呼叫期間推測執行的一個嚴重缺陷，在Apple M系列處理器上以96.28%的準確率破解KASLR。研究人員解釋說：「透過在系統呼叫中使用Spectre類型的小工具，非特權攻擊者可以轉換攻擊者選擇的核心位址，從而導致TLB根據位址的有效性而變化」。

SysBumps攻擊涉及多階段過程：

• 觸發推測執行：攻擊者製作惡意系統調用，利用推測執行來繞過核心位址驗證檢查。
• TLB探測：透過對TLB架構進行逆向工程，攻擊者可以探測TLB 狀態以確定核心位址的有效性。
• 揭示內核佈局：透過重複的TLB探測，攻擊者可以推斷出內核元件的基底位址，從而有效破解 KASLR。

SysBumps攻擊已在多個Apple Silicon裝置和macOS版本上成功測試：

• 受影響的 Apple Silicon 裝置：

                M1、M1 Pro、M2、M2 Pro、M2 Max、M3、M3 Pro

• 受影響的macOS版本：

                13.1–15.1（早期版本可能也存在漏洞但尚未測試）

研究人員在 GitHub 上發布了一個概念驗證 (PoC) 漏洞，引發了人們對利用 CVE-2024-54531 漏洞的潛在現實攻擊的擔憂。Apple 已在 macOS Sequoia 15.2 中透過改進記憶體處理解決了此漏洞。敦促用戶立即更新系統，以降低被利用的風險。由於已經存在概念驗證漏洞，在敏感環境中使用macOS的組織應優先修補以防止潛在的漏洞。網路犯罪分子和APT組織可以利用這種技術進行隱密、高度針對性的攻擊。

相關文章：

• Researcher found new variant of spectre security flaw
• Microsoft Tackles Speculative Execution Security with New PowerShell Script
• Intel pays $100,000 in prize money for new Spectre variant discoverers
• Microsoft will pay $250,000 in bonuses to find flaws like Meltdown and Spectre

KASLR（kernel address space layout randomization）技術簡介

• KASLR是一種內核加固技術，通過在系統啟動時隨機化記憶體位址，防止攻擊者預測關鍵核心結構的位置。這種隨機性對於緩解記憶體損壞漏洞至關重要，因為它迫使攻擊者猜測核心的基底位址，而高平均資訊本體量值使得這一任務的難度呈指數級增加。
• 在Apple Silicon的macOS系統中，Apple進一步強化了KASLR，實施了「雙重映射」核心隔離技術，將用戶空間和核心空間的位址佈局分開。然而，SysBumps攻擊表明，即使是這些高級防禦措施也能被繞過，研究人員在多種M系列處理器（包括M1、M2及其Pro和Max版本）上實現了96.28%的成功率。

本文參考自：https://securityonline.info/macos-security-breach-cve-2024-54531-poc-published-attackers-can-bypass-kaslr/