Vulnerabilitatea din Cursor macOS permite ocolirea măsurilor de protecție a confidențialității

O vulnerabilitatede securitate a fost descoperită în Cursor, un editor de cod popular bazat pe inteligență artificială pentru macOS, care permite software-ului rău intenționat să eludeze măsurile de protecție a confidențialității încorporate de Apple și să acceseze datele sensibile ale utilizatorului fără autorizația corespunzătoare.

Vulnerabilitatea exploatează o configurație eronată în framework-ul Electron al aplicației, în special activarea RunAsNode fuse, care permite atacatorilor să execute cod arbitrar cu permisiunile de confidențialitate existente ale aplicației.

Această vulnerabilitate reprezintă o amenințare semnificativă la adresa framework-ului Transparency, Consent, and Control (TCC) pe care Apple l-a implementat pentru a proteja confidențialitatea utilizatorilor pe sistemele macOS.

TCC servește drept un dispozitiv de securitate esențial care controlează accesul aplicațiilor la resurse sensibile, inclusiv la fișiere din directoare protejate precum Documente, Descărcări și folderele Desktop, precum și la componente hardware precum camere și microfoane.

În circumstanțe normale, aplicațiile trebuie să solicite în mod explicit permisiunea utilizatorului prin intermediul prompterelor de sistem înainte de a accesa aceste resurse protejate.

Impactul vulnerabilității se extinde dincolo de simplul acces la date, deoarece subminează efectiv una dintre barierele fundamentale de securitate ale macOS.

Atunci când malware-ul exploatează cu succes această eroare, acesta poate prelua în mod silențios permisiunile TCC ale Cursor, putând să acceseze documente sensibile, să facă capturi de ecran, să înregistreze audio prin microfoane sau chiar să activeze camere fără a declanșa mecanismele standard de consimțământ privind confidențialitatea pe care utilizatorii se bazează pentru protecție.

Vulnerabilitatea provine din configurarea Cursor ca aplicație Electron cu funcția RunAsNode fuse activată, o setare care permite ca aplicația să fie executată ca un proces Node.js generic.

Atacatorii pot exploata această configurație eronată prin crearea unor configurații malițioase ale Launch Agent care utilizează variabila ELECTRON_RUN_AS_NODE.

O exploatare tipică implică plasarea unui fișier plist special creat în directorul ~/Library/LaunchAgents/ al utilizatorului, care execută cod JavaScript arbitrar prin binarul Cursor.

Această tehnică transformă efectiv Cursor într-un proxy involuntar pentru operațiuni malițioase, deoarece sistemul percepe aceste acțiuni ca provenind de la aplicația legitimă, mai degrabă decât de la un malware extern.

Sursă: https://cybersecuritynews.com/vulnerability-in-popular-macos-app-cursor/