Фундаментальная уязвимость в механизмах отслеживания файлов Windows, Linux, Android и macOS

Механизмы отслеживания изменений в файлах присутствуют в каждой современной операционной системе и воспринимаются как безобидная системная функция. Однако, как показало исследование Грацского технического университета, именно эта «безобидность» превращает их в удобный инструмент для скрытой утечки данных. Проблема носит фундаментальный характер, поскольку касается не конкретного продукта, а самого принципа работы подсистем.

Подробности

В основе проблемы лежат четыре системных механизма: inotify в Linux, FileObserver в Android, ReadDirectoryChangesW в Windows и FSEvents в macOS. Все они уведомляют процессы о событиях, связанных с файлами: открытии, изменении или удалении. Содержимое файлов через них получить нельзя, однако метаданные о происходящих изменениях доступны без каких-либо особых привилегий в системе, что и делает их потенциальным каналом передачи информации. По словам исследователей, речь идет именно о побочном канале: безобидная на первый взгляд функциональность позволяет организовать скрытую передачу приватных данных между процессами или за пределы системы. В качестве наглядной демонстрации в работе приведен пример построения кейлоггера в Linux на базе inotify. Подобный сценарий не требует эксплуатации отдельной уязвимости памяти или повышения привилегий — достаточно использовать штатное поведение ОС. Важно подчеркнуть, что проблема не сводится к одному CVE или конкретной версии продукта. Это архитектурная особенность подсистем отслеживания файловых событий, присутствующая одновременно в Windows, Linux, Android и macOS. Именно поэтому авторы называют уязвимость фундаментальной: она затрагивает саму модель доступа к событиям файловой системы, а не отдельную реализацию.

Что делать

Универсального патча, закрывающего эту особенность, в исходной публикации не приводится, поэтому основной акцент следует сделать на организационных и компенсирующих мерах. Прежде всего необходимо учитывать данный вектор при построении моделей угроз и оценке рисков утечки данных на конечных устройствах. Рекомендуется ограничивать круг процессов, имеющих доступ к чувствительным каталогам, и контролировать их поведение средствами EDR-класса, способными выявлять аномальную активность вокруг файловых событий. Для мобильных устройств под управлением Android стоит применять политики управления, сокращающие поверхность атаки, а также следить за обновлениями платформы и рекомендациями вендоров. Дополнительно имеет смысл пересмотреть подход к хранению секретов и ключей на локальных дисках, чтобы снизить ценность данных, доступных через побочные каналы. Итог: обнаруженная особенность напоминает, что даже штатная и, казалось бы, безвредная функциональность ОС может становиться инструментом атаки. Специалистам по безопасности стоит учитывать подсистемы отслеживания файловых событий при проектировании защиты и мониторинге конечных устройств.

Источник: Хабр — Информационная безопасность