Ny BootROM-sårbarhet påverkar Apples A12- och A13-chips

Säkerhetsforskningsföretaget Paradigm Shift publicerade idag detaljer om en ny BootROM-sårbarhet som påverkar Apples A12- och A13-chips, tillsammans med en fungerande proof-of-concept-exploatering som kallas "usbliter8." BootROM, eller SecureROM, är den första koden som en iPhone kör när den slås på. Eftersom den är inbakad direkt i chipet vid tillverkningen kan ingen sårbarhet som hittas där åtgärdas med en mjukvaruuppdatering, vilket innebär att berörda enheter förblir sårbara under hela sin livslängd. Den senaste offentligt kända BootROM-exploateringen av denna typ var "checkm8," som släpptes 2019 och påverkade enheter från iPhone 4S till iPhone X. usbliter8 utvidgar nu den historien till nästa generation av chips, som täcker iPhone XS till iPhone 11-serien. Exploateringen fungerar genom att utnyttja en bugg i USB-kontrollern som är inbyggd i Apples chips. När en iPhone tar emot USB-data under uppstart använder kontrollern en minnesbuffert för att lagra inkommande paket. Paradigm Shift fann att genom att skicka en specifik sekvens av ovanligt små paket kunde de manipulera en intern hårdvarupointer på ett sätt som får den att gå bakåt genom minnet, vilket gör att data kan skrivas till platser den aldrig borde nå. Forskarna säger att detta verkar vara en bugg i USB-kontrollerns hårdvara, inte i Apples mjukvara. A11-chippet, som används i iPhone X, påverkas inte eftersom dess USB-drivrutin manuellt återställer pekaren efter varje paket. A14 och senare chips är också säkra, eftersom de konfigurerar en minnesskyddsfunktion korrekt på BootROM-nivå. A12 och A13 befinner sig i en sårbar mellanposition mellan de två. På A12-enheter är det relativt enkelt att få kodexekvering. På A13-enheter är det betydligt svårare eftersom Apple införde en säkerhetsfunktion som kallas Pointer Authentication Codes (PAC), som upptäcker och blockerar vissa typer av minnesmanipulation. Paradigm Shift säger att det krävdes en lång och flerstegsprocess för att kringgå PAC på A13 innan forskarna slutligen kunde ta kontroll över processorn. När kontrollen är tagen installerar exploateringen en anpassad hanterare som överlever enhetsomstart och lägger till två funktioner: tillfälligt sänka enhetens säkerhetsinställningar och starta osignerad mjukvara utan några verifieringskontroller. Den injicerar också den traditionella "PWND"-strängen i iPhone:s USB-serienummer som en signal om att enheten har blivit komprometterad, en konvention som bärs över från checkm8 och tidigare exploateringar. Paradigm Shift noterar att även om usbliter8 inte påverkar Secure Enclave direkt, öppnar en BootROM-kompromiss av denna typ upp bredare vägar för att attackera den. Företaget säger att det rapporterade sina fynd till Apple Product Security innan publiceringen och arbetade med Apple om samordnad offentliggörande. Den fullständiga proof-of-concept-koden har publicerats tillsammans med rapporten på ps.tc.