Tənqidi Xəbərdarlıq: macOS-da TCC Müdafiəsini Tamamilə Keçən Sıfır Gün Zəifliyi Aşkar Edildi (CVE-2025-43530)

Apple-ın macOS əməliyyat sisteminin daxili təhlükəsizlik mexanizmlərini hədəf alan kritik bir zəiflik (CVE-2025-43530) aşkarlanıb. Bu boşluq, Transparency, Consent, and Control (TCC) müdafiəsini tamamilə bypass etməyə imkan verir ki, bu da hücumçulara istifadəçinin mikrofon, kamera və həssas sənədlərinə icazəsiz çıxış əldə etməsi deməkdir.

TCC, macOS-un istifadəçi məlumatlarının mühafizəsi üçün əsas sütunudur. O, proqramların xüsusi resurslara (məsələn, Yer Məlumatı, Təqvim və ya Fayl Sistemi) daxil olmazdan əvvəl istifadəçidən açıq icazə almasını təmin edir. Lakin aşkarlanan bu yeni zəiflik, bu etibarlı müdafiə baryerini funksional olaraq sıfıra endirir və əməliyyat sisteminin nüvəsinə doğru bir neçə ciddi boşluğun mövcudluğunu sübut edir.

Texniki Detallar

CVE-2025-43530 kodu ilə izlənilən bu təhlükə, Apple-ın görmə qüsurlu istifadəçilər üçün nəzərdə tutulmuş daxili əlçatanlıq aləti olan VoiceOver ekran oxuyucu çərçivəsində mövcuddur. Zəiflik bilavasitə VoiceOver-in istifadə etdiyi “com.apple.scrod” MIG (Messaging Interface Generator) xidmətini istismar edir.

VoiceOver, digər əlçatanlıq xidmətləri kimi, geniş istifadəçi məlumatlarına daxil olmaq üçün xüsusi sistem imtiyazları ilə işləyir. Hücumçular məhz bu yüksək imtiyazlı servisi hədəf alaraq istənilən AppleScript əmrlərini icra edə bilər və ya Finder daxil olmaqla, istənilən tətbiqə AppleEvents göndərərək TCC təhlükəsizlik nəzarətlərini aşırlar.

Əsas hədəf komponentlər və hücum vektorları aşağıdakılardır:

• CVE İdentifikatoru: CVE-2025-43530
• Hücum Vektoru: Yerli (Local) – Dinamik Kitabxana (Dylib) İnjeksiya və ya TOCTOU Hücumu
• Hədəflənən Komponent: ScreenReader.framework (VoiceOver), com.apple.scrod MIG Xidməti
• Növü: Şəxsi API İstismarı yolu ilə TCC Bypass.

Təhlükənin Miqyası

Bu zəiflik iki fərqli, lakin bir-birini tamamlayan metod vasitəsilə istismar edilə bilər. Hər iki metod administrativ imtiyaz tələb etmədən (Root Access olmadan) icra olunur:

1. **İmzalanmış İkililərə Kod İnjeksiya:** Doğrulama məntiqi Apple tərəfindən imzalanmış istənilən kodu yanlışlıqla etibarlı hesab edirdi. Bu boşluqdan istifadə edən hücumçular, Apple tərəfindən imzalanmış sistem ikililərinə zərərli kod inyeksiya edərək onları istifadəçi sistemində işə salırdılar. Sistem, bu kodun legitim sistem proseslərindən fərqləndirilməsində uğursuz olurdu.
2. **TOCTOU (Time-of-Check-Time-of-Use) Hücumu:** Bu hücum növü təhlükəsizlik sisteminin tətbiqi yoxlamasından keçdiyi an ilə, tətbiqin həqiqətən icra edildiyi an arasındakı qısa zaman aralığını manipulyasiya etməyə əsaslanır. Bu, zərərli proqramın yoxlamadan sonra dəyişdirilərək validasiya nəzarətlərini aşmasına imkan yaradırdı.

Bu zəifliklərin kombinasiyası TCC-ni tamamilə keçmək üçün sadə bir yol yaradır. İstismar edildikdən sonra hücumçular istifadəçinin xəbəri və ya icazəsi olmadan həssas sənədləri oxuya, mikrofonu dinləyə, kamera görüntülərini əldə edə və Finder ilə qarşılıqlı əlaqə qura bilər. Bu, təsirlənmiş sistemlərdə TCC müdafiələrini faktiki olaraq mənasız edir.

Tövsiyələr və Həll Yolları

Apple bu kritik zəifliyi macOS 26.2 versiyasında aradan qaldırıb. Həll yolu fayla əsaslanan yoxlama metodundan imtina edərək, daha etibarlı, entitlement-əsaslı (imtiyaza əsaslanan) validasiya sisteminin tətbiq edilməsindən ibarətdir.

Yenilənmiş versiyada:

• Prosesslərin ‘com.apple.private.accessibility.scrod’ adlı xüsusi imtiyaza (entitlement) sahib olması tələb olunur.
• Bu imtiyazın doğrulanması fayl əsaslı yoxlama əvəzinə, birbaşa klientin audit tokeni vasitəsilə həyata keçirilir.

Bu yeni yanaşma həm injeksiya zəifliyini, həm də TOCTOU hücumlarına qarşı zəmin yaradan zaman pəncərəsini effektiv şəkildə aradan qaldırır.

Bütün macOS istifadəçilərinə bu kritik TCC bypass zəifliyindən qorunmaq üçün dərhal **macOS 26.2 və ya daha yeni versiyalara** yeniləmək tövsiyə olunur. GitHub-da yayımlanmış jhftss hesabatlarına görə, işlək sübut-nümunə (Proof of Concept – PoC) artıq ictimaiyyətə açıqdır ki, bu da aktiv istismar ehtimalının yüksək olduğunu göstərir.

Nəticə

macOS əməliyyat sisteminin əsas müdafiə mexanizmini bu cür radikal şəkildə aşmaq mümkünlüyü, Apple tərəfindən imzalanmış proseslərə olan etibarın yenidən qiymətləndirilməsinin vacibliyini vurğulayır. Təhlükəsizliyini təmin etmək istəyən bütün istifadəçilər üçün ən vacib addım, təcili sistem yeniləməsidir. Xaker.az olaraq kiber gigantların belə boşluqları tez bir zamanda aradan qaldırmasını izləyir və istifadəçilərimizi məlumatlandırırıq.