Poważna podatność w Parallels Desktop. Opublikowano PoC

Ukraiński badacz bezpieczeństwa macOS poinformował o znalezieniu poważnej podatności w Parallels Desktop. Mykola Grymalyuk udowodnił, że za pomocą skryptu w Pythonie można lokalnie podnieść swoje uprawnienia do poziomu roota. Luka bezpieczeństwa dotyczy urządzeń Apple działających na procesorach Intela.

Parallels Desktop to aplikacja przeznaczona dla macOS, która pozwala na wirtualizację sprzętową. Jest polecana przez Microsoft do uruchamiania Windowsa 11 w wersji ARM na komputerach Apple M1, M2 i M3. Podatność została zgłoszona za pomocą responsible disclosure, dzięki czemu społeczność może zapoznać się w pełni z opisem luki w oprogramowaniu.

Skutki podatności i proces zgłaszania

Zgodnie z Proof of concept opublikowanym przez badacza wykorzystanie podatności skutkuje uzyskaniem uprawnień roota, czyli największych możliwych w systemie. Luka została oznaczona jako CVE-2024-34331.

Podatność została zgłoszona przez Grymaluka już 14 lutego. Podatność została załatana 30 kwietnia wraz z wydaniem wersji 19.3.1 oprogramowania. 7 maja podatności został nadany numer CVE, zaś 30 maja szczegółowy opis został opublikowany przez badacza.

Podatne wersje i PoC

Przeprowadzenie ataku możliwe jest w wersjach 16.0.0 – 19.3.0 oprogramowania.

Warto również przypomnieć, że luka bezpieczeństwa dotyczy urządzeń działających na procesorach Intela. Ostatni MacBook pro działający na takich komponentach został wydany w 2021 roku.

Badacz zamieścił kod w Pythonie wraz z krótkim filmem obrazującym eskalację uprawnień.

Opinie ekspertów

Mykola Grymaluk podkreślił, że Parallels nie oferuje programu bug bounty, przez co wielu badaczy będzie zmuszonych sprzedawać exploity. Pozostaje mieć nadzieję, że takie podejście zostanie szybko porzucone przez dostawcę oprogramowania.

„Szkoda jednak, że Parallels nie oferuje bug bounty, zwłaszcza będąc jednym z najbardziej znanych rozwiązań wirtualizacji w macOS od czasu Apple Silicon. To tylko zachęca badaczy do sprzedawania exploitów w celu zarabiania na życie, zamiast responsible disclosure (odpowiedzialne ujawnianie podatności po określonym czasie – przyp. red.). Rozmawiałem o tym z Parallels, ale nie wiadomo czy zostaną wprowadzone jakiekolwiek zmiany.” – komentuje Grymaluk.

Rolę responsible disclosure opisał Jakub Domaradzki w rozmowie z CyberDefence24.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].