Remote Code Execution über eine präparierte Keychain-Datei

Beschreibung

const keychains = execSync('security list-keychains')
  .toString()
  .split('\n')
  .map((kc) => kc.trim().replace(/"/g, '')); // strips only double quotes

keychains.forEach((keychain) => {
  const rawCerts = execSync(`security find-certificate -a -p ${keychain}`).toString();
});

Auswirkung

• Ausführung beliebiger Kommandos im Electron-Hauptprozess des Authenticators mit den Rechten des Benutzers, mit Zugriff auf den Credential-Store des Betriebssystems (IDP-Token, Konnektor-TLS-Client-Zertifikate), das Dateisystem und Umgebungsvariablen.
• Die manipulierte Keychain wird bei jedem Start ausgelöst und übersteht Neustarts und Updates, bis sie aus der Schlüsselbundverwaltung entfernt wird.
• Die Zustellung erfolgt per Phishing (eine .keychain-db-Datei als E-Mail-Anhang); der Download lässt sich durch Verkettung mit dem Deep-Link-Hijack so darstellen, als stamme er von einer gematik-Domain.

Abhilfe

Aktualisieren Sie auf v4.16.0 oder höher. Ersetzen Sie execSync durch execFileSync('security', [...]), damit Argumente die Shell vollständig umgehen, und weisen Sie als Verteidigung in der Tiefe Keychain-Pfade mit Shell-Metazeichen ($, Backticks, ;, |, & oder Zeilenumbrüche) zurück.

Checkliste für Betreiber

• Eingesetzte Version prüfen

  Stellen Sie sicher, dass macOS-Arbeitsplätze gematik Authenticator v4.16.0 oder höher ausführen; v4.12.0 bis v4.15.2 sind betroffen. Windows ist nicht betroffen.

• Vorsicht bei .keychain-db-Anhängen

  Behandeln Sie unaufgefordert zugesandte Keychain-Dateien als nicht vertrauenswürdig. Das Öffnen fügt sie der Keychain-Suchliste hinzu; sie muss nicht aus einer vertrauenswürdigen Quelle stammen, um wirksam zu werden.

Bewertung im Detail

Referenzen

• gematik Authenticator: Fachportal
• gematik Security Advisory (GitHub)
• gematik Security Heroes

So können wir helfen

• MDR-Penetrationstests