A falha do macOS que permitia que invasores contornassem as principais proteções do sistema agora foi corrigida
Uma vulnerabilidade significativa no macOS comprometeu a segurança dos dispositivos Apple ao contornar as medidas de proteção da Proteção de Integridade do Sistema, mas uma atualização de segurança subsequente neutralizou esta ameaça.
Em 13 de janeiro de 2025, o Microsoft Threat Intelligence revelou um no macOS- CVE-2024-44243 — que ignora a Proteção de Integridade do Sistema (SIP) da Apple explorando extensões de kernel de terceiros. Esse problema, agora corrigido, poderia ter permitido que invasores comprometessem a segurança do macOS em sua essência.
System Integrity Protection (SIP) é um mecanismo de segurança avançado no macOS, projetado para proteger arquivos e processos essenciais do sistema. Este recurso impõe limitações a todos os usuários, inclusive aqueles com direitos administrativos, impedindo-os de executar ações que possam colocar em risco a integridade e a segurança do sistema operacional.
O SIP protege arquivos críticos do sistema, inibe a execução não autorizada de código do kernel e garante que os aplicativos não consigam instalar drivers de kernel não autorizados.
CVE-2024-44243 expôs uma vulnerabilidade que permitiu que invasores contornassem as proteções do Secure Input Processing (SIP) implantando extensões de kernel maliciosas de terceiros conhecidas como rootkits. Esses rootkits fornecem acesso não autorizado aos sistemas, facilitam a instalação de malware persistente, substituem as permissões do usuário e interferem nos protocolos de segurança.
Como funciona o CVE-2024-44243
A falha de segurança se baseia em “direitos”, que são privilégios específicos codificados em processos do macOS. Esses direitos desempenham um papel crucial na Proteção de Integridade do Sistema (SIP), delineando as capacidades e limitações de cada processo.
Storagekitd e seus direitos. Crédito da imagem: Microsoft
Certos procedimentos são dotados de privilégios exclusivos necessários para operações críticas do sistema, incluindo tarefas como depuração e administração de arquivos.
Os pesquisadores da Microsoft descobriram uma vulnerabilidade na qual os adversários podem aproveitar processos autorizados, particularmente o daemon storagekitd, que é responsável por gerenciar estados de disco por meio da estrutura Storage Kit da Apple. Dado que o storagekitd possui permissões extensas, ele tem a capacidade de iniciar subprocessos que podem contornar a Proteção de Integridade do Sistema (SIP).
Os adversários poderiam potencialmente injetar suas próprias extensões de kernel para exercer controle sobre o sistema operacional sem serem detectados, aproveitando a funcionalidade do daemon.
Após a identificação da vulnerabilidade, a Microsoft a divulgou à Apple por meio de seu processo de Divulgação Coordenada de Vulnerabilidade (CVD). Em resposta, a Apple corrigiu a falha CVE-2024-44243 em suas atualizações de segurança de 11 de dezembro de 2024, recomendando fortemente que todos os usuários atualizassem imediatamente seus sistemas Mac.
Como proteger seu Mac
O método mais eficaz para proteger o seu Mac contra esta vulnerabilidade é garantir que ele esteja executando a atualização mais recente do macOS. A Apple abordou esse problema nas atualizações de segurança lançadas em 11 de dezembro de 2024, tornando imperativo a aplicação desses patches caso ainda não tenham sido instalados.
Para verificar se há atualizações disponíveis, navegue até Configurações do sistema > Geral > Atualização de software e prossiga com a instalação.
Se você estiver utilizando um computador Macintosh desatualizado e incompatível com a versão mais recente do macOS, é aconselhável monitorar as atualizações de segurança da Apple em busca de patches que ainda possam ser relevantes para o seu sistema. Além disso, é prudente evitar a instalação de extensões de kernel de terceiros, a menos que você possa verificar sua origem como uma fonte confiável.
Você não precisa se preocupar em desativar inadvertidamente o System Integrity Protection (SIP). Ele é ativado automaticamente na instalação do macOS e sua desativação requer ações intencionais executadas por meio do Terminal durante o modo de recuperação.