Vulnerabilidade no iOS e macOS permite ignorar TCC via Symlink

Pesquisadores de segurança revelaram uma vulnerabilidade grave nos sistemas iOS e macOS da Apple, que permite contornar a proteção de Transparência, Consentimento e Controle (TCC). A falha, identificada como CVE-2024-44131, foi rastreada como um problema no componente FileProvider, e foi corrigida pela Apple em suas atualizações mais recentes para iOS 18, iPadOS 18 e macOS Sequoia 15.

Pesquisadores descobrem falha crítica no iOS e macOS

O problema foi descoberto pelos laboratórios Jamf Threat Labs, que alertaram sobre o potencial de um atacante usar essa falha para obter acesso não autorizado a dados sensíveis sem o conhecimento do usuário. A principal função do TCC é permitir que os usuários decidam se um aplicativo pode acessar informações privadas, como localização, contatos e fotos. Porém, a vulnerabilidade enfraquece essa proteção, permitindo o acesso a arquivos e dados sem que qualquer aviso seja gerado para o usuário.

Como a falha funciona

A falha permite que um aplicativo malicioso manipule links simbólicos (symlinks) para contornar a proteção do TCC. Essa exploração pode ocorrer quando um invasor consegue se instalar no sistema e explorar o processo de cópia ou movimentação de arquivos dentro do aplicativo Arquivos do iOS. O ataque começa com a cópia de um arquivo aparentemente inofensivo, o que sinaliza ao sistema que a cópia foi iniciada. Em seguida, o invasor insere um symlink enquanto o processo ainda está em andamento, ignorando a verificação do sistema e permitindo o acesso a pastas e arquivos controlados.

O método utiliza o fileproviderd, um daemon responsável por gerenciar operações de arquivos associados ao iCloud e a outros gerenciadores de arquivos em nuvem. Esse processo permite ao invasor mover arquivos e exfiltrar dados confidenciais para um servidor remoto.