WWW2Exec - sips ICC Profile Out-of-Bounds Write (CVE-2024-44236)

Overview

Apple macOS Scriptable Image Processing System (sips) ICC प्रोफ़ाइल पार्सर (macOS 15.0.1, sips-307) में एक आउट-ऑफ-बाउंड्स लिखने की कमजोरी है जो lutAToBType (mAB ) और lutBToAType (mBA ) टैग में offsetToCLUT फ़ील्ड के अनुचित सत्यापन के कारण है। एक तैयार ICC फ़ाइल शून्य-लिखने को 16 बाइट्स तक हीप बफर के पार ट्रिगर कर सकती है, जिससे हीप मेटाडेटा या फ़ंक्शन पॉइंटर्स भ्रष्ट हो जाते हैं और मनमाने कोड निष्पादन की अनुमति मिलती है (CVE-2024-44236).

Vulnerable Code

कमजोर फ़ंक्शन एक हमलावर-नियंत्रित ऑफसेट से शुरू होकर 16 बाइट्स को पढ़ता और शून्य करता है बिना यह सुनिश्चित किए कि यह आवंटित बफर के भीतर है:

// Pseudocode from sub_1000194D0 in sips-307 (macOS 15.0.1)
for (i = offsetToCLUT; i < offsetToCLUT + 16; i++) {
if (i > numberOfInputChannels && buffer[i] != 0)
buffer[i] = 0;
}

केवल एक जांच offsetToCLUT <= totalDataLength की जाती है। offsetToCLUT == tagDataSize सेट करके, लूप buffer के अंत के 16 बाइट्स तक इंडेक्स करता है, जिससे आस-पास के हीप मेटाडेटा को भ्रष्ट किया जाता है।

शोषण के चरण

1. दुष्ट .icc प्रोफ़ाइल तैयार करें:

• ICC हेडर (128 बाइट्स) को acsp हस्ताक्षर और एकल lutAToBType या lutBToAType टैग प्रविष्टि के साथ बनाएं।
• टैग तालिका में, offsetToCLUT को टैग के size (tagDataSize) के बराबर सेट करें।
• हीप मेटाडेटा को ओवरराइट करने के लिए टैग डेटा ब्लॉक के तुरंत बाद हमलावर-नियंत्रित डेटा रखें।

2. पार्सिंग को ट्रिगर करें:

sips --verifyColor malicious.icc

3. हीप मेटाडेटा भ्रष्टाचार: OOB ज़ीरो-लिखाई आवंटक मेटाडेटा या आस-पास के पॉइंटर्स को ओवरराइट करती है, जिससे हमलावर को नियंत्रण प्रवाह को हाईजैक करने और sips प्रक्रिया के संदर्भ में मनमाना कोड निष्पादन प्राप्त करने की अनुमति मिलती है।

प्रभाव

सफल शोषण का परिणाम macOS सिस्टम पर उपयोगकर्ता विशेषाधिकार पर दूरस्थ मनमाना कोड निष्पादन होता है जो कमजोर sips उपयोगिता चला रहा है।

पहचान

• सामान्य प्रोटोकॉल (FTP, HTTP/S, IMAP, SMB, NFS, SMTP) पर फ़ाइल ट्रांसफर की निगरानी करें।
• हस्ताक्षर acsp के साथ स्थानांतरित फ़ाइलों का निरीक्षण करें।
• प्रत्येक mAB या mBA टैग के लिए, सत्यापित करें कि Offset to CLUT फ़ील्ड Tag data size के बराबर है।
• यदि यह स्थिति पूरी होती है तो इसे संदिग्ध के रूप में चिह्नित करें।

संदर्भ

• ZDI ब्लॉग: CVE-2024-44236: Apple macOS sips Utility में दूरस्थ कोड निष्पादन भेद्यता https://www.thezdi.com/blog/2025/5/7/cve-2024-44236-remote-code-execution-vulnerability-in-apple-macos
• Apple अक्टूबर 2024 सुरक्षा अपडेट (CVE-2024-44236 पैच शिपिंग) https://support.apple.com/en-us/121564