🇰🇷 한글 설명
ClearanceKit 5.0.10 미만 버전에서 macOS 파일 시스템 접근 정책을 저장하는 SQLite 데이터베이스의 서명 검증 취약점이 발견되었습니다. 서명된 데이터에 버전 카운터나 최신성 확인 기능이 없어, 공격자가 이전에 캡처한 유효한 서명 데이터를 사용하여 정책을 과거 상태로 되돌리는 재전송 공격이 가능합니다.
💡 쉬운 설명
보안 정책이 저장된 파일이 최신 상태인지 확인하는 기능이 부족하여, 공격자가 예전에 사용했던 보안 설정을 다시 집어넣어 보안을 무력화할 수 있는 문제입니다. 마치 유효기간이 지난 신분증을 예전 사진으로 바꿔치기해도 시스템이 그대로 믿어버리는 것과 같습니다.
🇺🇸 원문 (English)
ClearanceKit intercepts file-system access events on macOS and enforces per-process access policies. Prior to version 5.0.10, each table in the on-disk SQLite policy store (`/Library/Application Support/clearancekit/store.db`) is verified using an ECDSA signature stored in the `data_signatures` table. The signed payload contains only the canonical row content, with no version counter or freshness binding. An attacker who can write `store.db` and the matching `data_signatures` row — feasible during the opfilter-update window when the Endpoint Security filter is offline, or via offline-boot / decrypted-backup scenarios — can substitute a previously-captured legitimately-signed snapshot. opfilter accepts the older snapshot as fully valid on next boot because the existing signatures still verify. Version 5.0.10 patches the issue.
📍 영향받는 시스템
ClearanceKit 5.0.10 미만 버전 (macOS)
⚔️ 공격 벡터
Endpoint Security 필터가 오프라인인 시점이나 오프라인 부팅/백업 복구 상황에서 유효한 서명이 포함된 과거의 정책 데이터베이스 파일로 교체
🛡️ 대응 방법
ClearanceKit을 버전 5.0.10 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 5.0.10 이상인지 확인하십시오.
pkgutil --pkg-info com.clearancekit.agent 2>/dev/null | grep -E 'version'
💻 영향받는 소프트웨어
IBM Security Verify Access