浙江
安全研究公司 Paradigm Shift 日前公布了一項影響蘋果 A12 和 A13 芯片的全新 BootROM（也稱 SecureROM）漏洞細節(jié)，并釋出一款名為“usbliter8”的概念驗證攻擊代碼。BootROM 是 iPhone 開機時運行的首段底層代碼，由于直接固化在芯片中，無法通過后續(xù)軟件更新修補，這意味著一旦發(fā)現(xiàn)安全缺陷，受影響設(shè)備在整個生命周期內(nèi)都將持續(xù)處于風(fēng)險之中。
此前最后一次公開的同類 BootROM 漏洞是 2019 年曝光的“checkm8”，其影響范圍覆蓋從 iPhone 4S 到 iPhone X 的多代設(shè)備。本次的 usbliter8 則將這一歷史向前推進了一代，波及采用 A12 與 A13 芯片的產(chǎn)品，包括從 iPhone XS 到 iPhone 11 系列在內(nèi)的設(shè)備。
usbliter8 漏洞利用了蘋果芯片中集成 USB 控制器的一處缺陷。當 iPhone 在啟動過程中通過 USB 接收數(shù)據(jù)時，該控制器會使用一塊內(nèi)存緩沖區(qū)來存儲傳入的數(shù)據(jù)包。Paradigm Shift 研究人員發(fā)現(xiàn)，通過在啟動階段向設(shè)備發(fā)送特定序列、尺寸異常偏小的數(shù)據(jù)包，可以操控控制器內(nèi)部的硬件指針，使其在內(nèi)存中“向后行走”，從而將數(shù)據(jù)寫入原本不應(yīng)被訪問的位置。研究團隊指出，這更像是 USB 控制器硬件本身的設(shè)計缺陷，而非蘋果軟件層面的漏洞。
從具體芯片代際來看，A11 并不受影響，其所用 USB 驅(qū)動會在每次處理完數(shù)據(jù)包后手動重置指針，阻斷了這一路徑。而從 A14 開始，蘋果在 BootROM 層面正確配置了相關(guān)內(nèi)存保護機制，因此也能避免此類攻擊。A12 與 A13 則處在二者之間的“灰色地帶”，未獲得上述防護，從而暴露在漏洞之下。
在 A12 設(shè)備上，攻擊者一旦掌握利用方法，實現(xiàn)代碼執(zhí)行相對直接。但在 A13 設(shè)備上，情況明顯更為復(fù)雜：這一代芯片引入了名為 Pointer Authentication Codes（PAC，指針認證碼）的安全特性，用于檢測并阻斷部分內(nèi)存篡改行為。Paradigm Shift 表示，要在 A13 上繞過 PAC，需要一個冗長且多階段的攻擊鏈，經(jīng)過多步操作才能最終奪取處理器控制權(quán)。
在成功取得控制權(quán)后，usbliter8 會在設(shè)備中安裝一個可在重啟后依舊存活的自定義處理程序。該處理程序可臨時降低設(shè)備的安全策略等級，并允許引導(dǎo)未經(jīng)簽名的軟件，跳過原本嚴格的驗證流程。作為成功入侵的標記，攻擊利用還會向 iPhone 的 USB 序列號中注入傳統(tǒng)的“PWND”字符串，延續(xù)了 checkm8 及更早期越獄漏洞的慣例。
Paradigm Shift 指出，usbliter8 本身并不會直接攻擊 Secure Enclave（安全隔區(qū)），但一旦 BootROM 層被攻破，理論上就為進一步針對安全隔區(qū)的高級攻擊打開了更廣泛的空間。該公司已在公開前將相關(guān)發(fā)現(xiàn)報告給蘋果產(chǎn)品安全團隊，并與蘋果方面協(xié)同完成了披露流程。完整的技術(shù)分析和概念驗證代碼已隨報告一同發(fā)布在 Paradigm Shift 官網(wǎng) ps.tc 上，供安全研究社區(qū)進一步研究。
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺“網(wǎng)易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
