Lỗ hổng CVE liên quan đến Apple M5 đang thu hút chú ý khi một chuỗi khai thác kernel memory corruption lần đầu tiên được công bố công khai, có thể vượt qua cơ chế bảo vệ bộ nhớ ở cấp phần cứng của Apple. Chuỗi này cho phép local privilege escalation từ tài khoản người dùng không đặc quyền lên root shell trên macOS 26.4.1 (25E253) chạy trên phần cứng M5.
Chuỗi khai thác trên macOS 26.4.1 và M5
Nhóm nghiên cứu gồm Calif, Bruce Dang, Dion Blazakis và Josh Maine đã phát triển thành công một kernel local privilege escalation (LPE) exploit nhắm vào macOS 26.4.1 (25E253) trên thiết bị M5 bare-metal. Điểm đáng chú ý của lỗ hổng CVE này là khai thác chỉ sử dụng các standard system calls, không cần quyền đặc biệt ban đầu, nhưng vẫn đạt được quyền root đầy đủ.
Chuỗi khai thác bắt đầu từ một unprivileged local user account, sau đó kích hoạt lỗi memory corruption trong kernel. Dù Memory Integrity Enforcement (MIE) đang hoạt động, tiến trình khai thác vẫn thành công, cho thấy chuỗi bảo vệ phần cứng hiện tại chưa chặn được toàn bộ lớp lỗi bộ nhớ này.
Bối cảnh phát hiện và tốc độ phát triển
Nhóm nghiên cứu phát hiện hai lỗi nền tảng vào ngày 25/4, phối hợp hai ngày sau đó và có exploit chạy được vào ngày 1/5. Mốc thời gian này được xem là đáng chú ý trong nghiên cứu lỗ hổng CVE vì quá trình hoàn thiện exploit diễn ra rất nhanh so với độ phức tạp của cơ chế bảo vệ MIE.
Thay vì gửi qua quy trình bug bounty thông thường, nhóm nghiên cứu đã mang bản báo cáo in dày 55 trang trực tiếp đến Apple Park tại Cupertino để tránh hàng đợi nộp báo cáo thường thấy trong các sự kiện kiểu Pwn2Own. Các chi tiết kỹ thuật đầy đủ sẽ chỉ được công bố sau khi Apple phát hành bản vá.
Memory Integrity Enforcement và giới hạn bảo vệ
Memory Integrity Enforcement (MIE) là hệ thống bảo vệ an toàn bộ nhớ có hỗ trợ phần cứng của Apple, được xây dựng trên kiến trúc ARM Memory Tagging Extension (MTE). Đây là tính năng an ninh nổi bật của chip M5 và A19, được thiết kế để làm tăng đáng kể chi phí khai thác các lỗi kernel memory corruption.
Theo nghiên cứu của Apple, MIE được kỳ vọng phá vỡ mọi chuỗi khai thác công khai đã biết trên iOS hiện đại, bao gồm các bộ công cụ khai thác Coruna và Darksword. Tuy vậy, chuỗi lỗ hổng CVE mới cho thấy vẫn tồn tại khả năng vượt qua lớp bảo vệ này trong một số điều kiện nhất định.
Vai trò của AI trong phát hiện lỗi
Khâu đột phá một phần đến từ Anthropic’s Mythos Preview, một mô hình AI được dùng để xác định hai lỗ hổng và hỗ trợ trong toàn bộ quá trình phát triển exploit. Nhóm nghiên cứu mô tả mô hình này có thể khái quát hóa các mẫu tấn công trên toàn bộ lớp lỗi khi đã học được một kiểu vấn đề.
Các lỗi được phát hiện nhanh vì thuộc những known bug classes. Tuy nhiên, việc tự động vượt qua MIE vẫn đòi hỏi đáng kể chuyên môn con người. Điều này cho thấy giá trị của mô hình phối hợp giữa con người và AI trong nghiên cứu lỗ hổng CVE và khai thác an toàn.
Ảnh hưởng kỹ thuật và phạm vi rủi ro bảo mật
Impact chính của chuỗi này là remote code execution ở phạm vi cục bộ thông qua leo thang đặc quyền, dẫn đến khả năng chiếm quyền root trên hệ thống mục tiêu. Đối với môi trường macOS 26.4.1 chạy trên M5, đây là rủi ro bảo mật đáng chú ý nếu máy bị truy cập cục bộ bởi người dùng không tin cậy hoặc qua chuỗi tấn công nhiều bước.
Apple hiện được cho là đang triển khai bản sửa lỗi. Cho đến khi bản vá được phát hành, các hệ thống chạy macOS 26.4.1 trên phần cứng M5 vẫn có nguy cơ lý thuyết bị xâm nhập trái phép qua chuỗi chưa công bố này.
Để theo dõi trạng thái chính thức của các lỗ hổng CVE và thông tin vá lỗi, có thể tham khảo nguồn công khai tại NVD – National Vulnerability Database.
Phân tích kỹ thuật của chuỗi memory corruption
Memory corruption vẫn là một trong những lớp lỗi phổ biến nhất trên các nền tảng hiện đại, bao gồm iOS và macOS. Các biện pháp như MIE được thiết kế để nâng chi phí khai thác, chứ không thể loại bỏ hoàn toàn nguy cơ. Chuỗi lỗ hổng CVE mới là minh chứng rằng khi mô hình AI đủ mạnh trong việc phát hiện lỗi thuộc nhóm đã biết, cửa sổ hiệu quả của các cơ chế bảo vệ phần cứng cũng bị thu hẹp.
Trong nghiên cứu này, yếu tố quan trọng không phải là một kỹ thuật hoàn toàn mới, mà là việc kết hợp phát hiện lỗi nhanh, khai thác đúng lớp bug, và vượt qua hàng rào bảo vệ bộ nhớ bằng một chuỗi LPE trên kernel. Đây là điểm làm cho cảnh báo CVE này đáng chú ý trong bối cảnh an toàn thông tin trên hệ sinh thái Apple silicon.
Điểm kỹ thuật cần theo dõi
- Target: macOS 26.4.1 (25E253).
- Platform: Apple M5 bare-metal.
- Attack type: Kernel local privilege escalation.
- Initial access: Unprivileged local user account.
- Execution primitive: Standard system calls.
- Outcome: Full root shell.
- Mitigation bypassed: Memory Integrity Enforcement (MIE).
Ý nghĩa đối với cảnh báo CVE trên Apple silicon
Với các hệ thống Apple silicon, đặc biệt là M5, cảnh báo CVE này cho thấy các lớp bảo vệ dựa trên phần cứng vẫn cần được đánh giá liên tục trước các kỹ thuật khai thác mới. Khi exploit có thể chạy bằng các lời gọi hệ thống tiêu chuẩn và đạt root trong môi trường có MIE, việc theo dõi bản vá và kiểm tra trạng thái triển khai trở nên quan trọng hơn trong an ninh mạng nội bộ.
Ở thời điểm hiện tại, thông tin công khai mới cho thấy một chuỗi khai thác hoạt động, chưa có đầy đủ chi tiết kỹ thuật sau khi Apple phát hành bản vá. Do đó, nội dung cần theo dõi tiếp theo là bản cập nhật của hãng, trạng thái công bố chính thức và bất kỳ thay đổi nào liên quan đến lỗ hổng CVE này.
