Lỗ hổng CVE trên macOS vừa được tiết lộ sau khi các nhà nghiên cứu bảo mật sử dụng kỹ thuật từ một phiên bản sớm của mô hình AI nội bộ để phát hiện hai lỗi chưa từng được công bố trước đó trên hệ điều hành của Apple.
Lỗ hổng CVE trên macOS và chuỗi khai thác leo thang đặc quyền
Hai lỗi này đã được kết hợp thành một privilege escalation exploit, cho phép vượt qua cơ chế memory integrity enforcement của Apple. Khi bị khai thác thành công, chuỗi tấn công có thể cấp quyền truy cập trái phép vào các vùng hệ thống vốn bị khóa đối với tiến trình thông thường.
Đây là một lỗ hổng CVE theo hướng leo thang đặc quyền, nhưng chưa có mã định danh CVE được công bố trong nội dung gốc. Apple hiện đang xem xét báo cáo kỹ thuật dài 55 trang và dự kiến phát hành bản vá sau khi xác thực xong các phát hiện.
Cơ chế khai thác
Chuỗi khai thác được phát hiện trong các phiên thử nghiệm vào tháng 4. Theo mô tả kỹ thuật, exploit kết hợp hai lỗi macOS cùng nhiều kỹ thuật nâng cao để làm hỏng bộ nhớ của máy Mac, từ đó đi vào các vùng hệ thống bị hạn chế mà tiến trình bình thường không thể chạm tới.
Nhóm nghiên cứu đã viết phần mềm tùy chỉnh để liên kết hai lỗ hổng này thành một vector tấn công mới, tạo ra một dạng khai thác mà macOS chưa từng gặp trước đó.
Phạm vi ảnh hưởng hệ thống
Nếu chuỗi khai thác này được ghép thêm với các bước tấn công khác, kẻ tấn công có thể đạt tới mức chiếm quyền điều khiển hoàn toàn trên máy Mac mục tiêu. Tuy nhiên, đây không phải là một worm có thể phát tán từ xa; exploit vẫn đòi hỏi mức độ can thiệp và kỹ năng thủ công rất cao.
Theo mô tả, đây là một lỗ hổng CVE dạng cục bộ, không phải khai thác tự động từ xa. Điều đó làm giảm khả năng lây lan trực tiếp, nhưng vẫn tạo ra nguy cơ nghiêm trọng nếu bị tích hợp vào các chuỗi tấn công phức tạp hơn.
Lỗ hổng CVE và quy trình phản hồi của Apple
Nhóm nghiên cứu đã trực tiếp mang báo cáo kỹ thuật đến trụ sở của Apple tại Cupertino để bàn giao tài liệu. Apple cho biết bảo mật là ưu tiên hàng đầu và mọi báo cáo về nguy cơ bảo mật đều được xem xét nghiêm túc.
Hiện chưa có xác nhận chính thức về việc bản vá đã bắt đầu được triển khai hay chưa. Tuy nhiên, phía nghiên cứu nhận định các lỗi này có thể sẽ được sửa khá nhanh sau khi Apple hoàn tất đánh giá.
Thông tin kỹ thuật đầy đủ về các phát hiện sẽ chưa được công bố công khai cho đến khi Apple xử lý xong các vấn đề nền tảng.
Tham chiếu ngoài
Tham khảo thêm từ nguồn công bố liên quan: The Wall Street Journal.
Vai trò của mô hình AI trong phát hiện lỗ hổng CVE
Điểm đáng chú ý trong vụ việc này là kỹ thuật khai thác được xây dựng dựa trên một phiên bản sớm của mô hình AI bí mật, vốn được giữ lại không công bố do khả năng tìm ra lỗi phần mềm rất mạnh. Mô hình này được sử dụng trong khuôn khổ nghiên cứu phòng thủ với nhóm tổ chức được cấp quyền truy cập giới hạn.
Trước phát hiện trên macOS, mô hình này từng được cho là đã tìm ra một lỗ hổng CVE trong OpenBSD tồn tại suốt 27 năm và phát hiện các điểm yếu trên Linux có thể dẫn tới chiếm quyền máy.
Các kỹ sư phụ trách mô hình cũng từng cảnh báo rằng khả năng phát hiện lỗi của hệ thống là quá lớn để phát hành rộng rãi nếu không có cơ chế kiểm soát chặt chẽ.
Chi tiết kỹ thuật đáng chú ý
- Loại lỗi: Hai lỗ hổng chưa công bố trên macOS.
- Kỹ thuật liên kết: Chaining nhiều lỗi để tạo chuỗi privilege escalation exploit.
- Ảnh hưởng: Vượt qua memory integrity enforcement, truy cập vùng hệ thống bị hạn chế.
- Khả năng tác động: Có thể dẫn đến chiếm quyền điều khiển khi kết hợp thêm các bước tấn công khác.
- Điều kiện khai thác: Cần kỹ thuật thủ công đáng kể, không phải khai thác từ xa tự động.
- Tình trạng vá lỗi: Apple đang đánh giá, bản vá được kỳ vọng sau khi xác thực.
Lỗ hổng CVE trong bối cảnh nghiên cứu phòng thủ
Vụ việc cho thấy lỗ hổng CVE có thể được phát hiện bằng các công cụ hỗ trợ phân tích bảo mật tiên tiến, nhưng chuỗi khai thác cuối cùng vẫn cần sự tham gia của chuyên gia để hoàn thiện. Trong trường hợp này, mô hình AI chỉ là một phần của quy trình, không phải thành phần duy nhất tạo ra exploit.
Điều đó cũng giải thích vì sao nội dung phát hiện chưa được công bố đầy đủ: các chi tiết kỹ thuật chỉ nên được mở ra sau khi nhà cung cấp đã xử lý xong vấn đề gốc, nhằm hạn chế rủi ro bị tái sử dụng trong các cuộc tấn công mạng.
Trạng thái hiện tại
Hiện chưa có mã CVE, CVSS, IOC hoặc đoạn mã khai thác công khai trong nội dung gốc. Do đó, thông tin kỹ thuật có thể trích xuất chỉ dừng ở mức mô tả cơ chế, phạm vi ảnh hưởng và trạng thái xử lý của nhà cung cấp.
