Feb 25, 2025 Marina Londei Attacchi, Hacking, In evidenza, Minacce, News, RSS, Vulnerabilità 0

Jin Mickey, un ricercatore di sicurezza, ha rivelato che una vulnerabilità 0-day di Parallels Desktop consente a un attaccante di ottenere i permessi di root sui sistemi macOS. Il bug, identificato come CVE-2024-34331, abiliterebbe ben due exploit per l’escalation dei privilegi.

Parallels Desktop è un software che consente di virtualizzare ambienti Windows e Linux sui sistemi macOS. Il bug era stato individuato a maggio 2024 e Parallels, il vendor del software, aveva rilasciato una patch per risolverlo; il fix però, stando alle evidenze di Jin Mickey, non è stato del tutto risolutivo.

La patch introdotta da Parallels verifica se il tool createinstallmedia è attendibile e, in caso positivo, lo esegue con privilegi di root. Il ricercatore ha individuato due metodi per bypassare questa verifica, rendendo Parallels Desktop di nuovo vulnerabile ad attacci di escalation dei privilegi.

Il primo exploit è di tipo TOCTOU (Time-Of-Check to Time-Of-Use), ovvero una classe di attacchi che sfrutta le race condition per manipolare l’esecuzione di determinati flussi. In questo caso, un attaccante può inserirsi tra la verifica del certificato e l’esecuzione del tool per rimpiazzare createinstallmedia con un’esecuzione malevola creata ad hoc.

Il secondo exploit permette invece a un attaccante di alterare un binario eseguibile con certificato iniettando un file DYLIB direttamente nel binario, bypassando la fase di verifica. In questo caso, l’attacco colpisce la funzione do_repack_manual.

Il ricercatore aveva individuato i due exploit poco dopo il rilascio del fix e aveva subito contattato sia la Zero Day Initiative che Parallels per condividere la sua scoperta; nonostante ciò, tuttora non ha ricevuto risposta né dall’uno, né dall’altro. “Dato che il vendor ha lasciato questa vulnerabilità non risolta per oltre sette mesi, nonostante la divulgazione precedente, ho scelto di rendere pubblico questo exploit 0-day“ ha spiegato Jin Mickey. “Il mio obiettivo è quello di sensibilizzare gli utenti e di esortarli a ridurre i rischi in modo proattivo, poiché gli aggressori potrebbero sfruttare questa falla in modo incontrollato“.