Podatności ClearanceKit

W ClearanceKit przed wersją 5.0.10, klucz ECDSA używany do podpisywania bazy danych polityk jest przechowywany w pęku kluczy macOS bez ograniczeń ACL. Każdy proces działający jako root może użyć tego klucza do podpisania dowolnej treści polityki.

W ClearanceKit przed wersją 5.0.10, podpisy ECDSA dla tabel bazy danych SQLite nie zawierają licznika wersji ani powiązania świeżości. Atakujący może podmienić bazę danych i podpisy na starszą, prawidłowo podpisaną wersję, co zostanie zaakceptowane przez system.

W ClearanceKit przed wersją 5.0.6 rozszerzenie systemowe opfilter można zawiesić sygnałem SIGSTOP lub zabić sygnałem SIGKILL/SIGTERM z dowolnego procesu uruchomionego jako root. Podczas zawieszenia zdarzenia AUTH Endpoint Security wygasają i domyślnie są dozwalane, co po cichu wyłącza egzekwowanie polityk dostępu do plików.

ClearanceKit w wersjach przed 5.0.4-beta-1f46165 posiada lukę w obsłudze zdarzeń Endpoint Security, gdzie sprawdzana jest tylko ścieżka źródłowa operacji dwuścieżkowych, a ścieżka docelowa jest ignorowana. Pozwala to dowolnemu lokalnemu procesowi obejść ochronę dostępu do plików poprzez operacje rename, link, copyfile, exchangedata lub clone.

ClearanceKit ma defekt uruchomieniowy, który powoduje, że tylko reguły skompilowane są egzekwowane do czasu interakcji użytkownika z GUI. Reguły MDM i zdefiniowane przez użytkownika nie są stosowane.