Для iPhone XS — iPhone 11 выпущен неустранимый эксплойт BootROM «usbliter8»

Исследовательская компания в области безопасности Paradigm Shift объявила об обнаружении неустранимой уязвимости в BootROM, затрагивающей чипы Apple A12 и A13. Команда выпустила рабочий эксплойт типа «доказательство концепции» (PoC) под названием «usbliter8». Поскольку уязвимость кроется в неизменяемом коде BootROM, зашитом в чип на этапе производства, Apple не может полностью устранить этот изъян с помощью обновления программного обеспечения. В число уязвимых устройств входят iPhone XS, XS Max, XR, iPhone SE второго поколения и вся линейка iPhone 11.

Это открытие стало первой публично задокументированной уязвимостью в BootROM со времен «checkm8» 2019 года, которая затрагивала iPhone вплоть до iPhone X. Компания Paradigm Shift подробно описала эксплойт в техническом отчете, а также выпустила полнофункциональный PoC. Для атаки требуется физический USB-доступ к устройству, переведенному в режим обновления прошивки (DFU), удаленной эта уязвимость не является.

Первопричина кроется в USB-контроллере Synopsys DWC2, интегрированном в однокристальные системы (SoC) Apple. Во время запуска контроллер сохраняет в буфере памяти до трех USB-пакетов настройки. Исследователи могут отправить специально сформированную последовательность необычно малых пакетов, чтобы манипулировать внутренним указателем адреса контроллера, перемещаясь назад по памяти и записывая данные в защищенные области, которые в обычных условиях недоступны. В Paradigm Shift считают, что это аппаратная ошибка самого USB-контроллера, а не ошибка в прошивке со стороны Apple.

Чип A11 выполняет сброс указателя вручную после каждого пакета, а в чипах A14 и новее на уровне BootROM корректно активируется DART — функция защиты памяти. Чипы A12 и A13 оказались в уязвимом промежуточном положении. Это означает, что атака работает на iPhone XS, XS Max, XR, iPhone 11, 11 Pro, 11 Pro Max, iPhone SE второго поколения и нескольких моделях iPad на базе процессоров A12 и A13.

На устройствах с процессором A12 получение выполнения кода относительно просто: злоумышленник перезаписывает сохраненный адрес возврата в стеке и перехватывает управление ходом программы. Коды аутентификации указателей Apple (PAC) усложняют атаку на A13 за счет цифровой подписи адресов возврата, хранящихся в стеке. Специалистам Paradigm Shift пришлось разработать многоступенчатую технику, которая манипулирует метаданными кучи, перезаписывает счетчик паник для предотвращения перезагрузки, синхронизирует DMA-записи для сохранения контекста задачи USB и, наконец, перезаписывает указатель глобального обработчика прерываний для получения полного контроля.

Получив контроль, эксплойт вносит патч в режим DFU, добавляя пользовательский обработчик USB-запросов, который остается активным до перезагрузки устройства. Этот обработчик может временно снизить уровень производственной безопасности устройства и загружать неподписанные образы iBoot без проверки подписи, эффективно обходя стандартные проверки цепочки загрузки Apple. Он также внедряет традиционную строку «PWND» в серийный номер USB — условность, перенесенная из более ранних эксплойтов для BootROM. Исследователи описывают полученный результат как компрометацию цепочки загрузки процессора приложений, позволяющую запускать неподписанные загрузочные компоненты на уязвимых устройствах. Хотя usbliter8 не затрагивает Secure Enclave напрямую, исследователи отмечают, что доступ к BootROM может открыть дополнительные возможности для исследований безопасности, нацеленных на SEP.

Несмотря на то, что usbliter8 демонстрирует низкоуровневый контроль над затронутыми устройствами, компания Paradigm Shift выпустила его в качестве эксплойта-доказательства концепции, а не джейлбрейка. Исторически уязвимости в BootROM, подобные checkm8, служили основой для разработки джейлбрейков и исследований безопасности, однако Paradigm Shift не выпускала джейлбрейк на базе usbliter8.

Paradigm Shift сообщила о своих выводах подразделению Apple Product Security до публикации и согласовала с компанией совместное раскрытие информации. Поскольку уязвимость носит аппаратный характер, затронутые устройства на базе A12 и A13 останутся уязвимыми на уровне BootROM на протяжении всего своего жизненного цикла. По словам исследователей, наиболее эффективным методом минимизации рисков по-прежнему является переход на более новое аппаратное обеспечение.

Пожалуйста, скачайте приложение iClarified или подпишитесь на iClarified в X, Facebook, YouTube и RSS, чтобы получать больше новостей.