USBLiter8: Der erste nicht behebbaren BootROM-Exploit für Apple A12 und A13 seit checkm8

Zum ersten Mal seit der Veröffentlichung von checkm8 im Jahr 2019 haben Sicherheitsforscher einen weiteren BootROM-Exploit für Apple-Geräte veröffentlicht. USBLiter8 wurde von Paradigm Shift entwickelt und betrifft Geräte mit A12- und A13-Prozessoren.

Da sich die Schwachstelle im unveränderlichen SecureROM (BootROM) befindet, kann sie nicht durch iOS-, iPadOS- oder Firmware-Updates behoben werden. Betroffene Geräte bleiben lebenslang verwundbar.

Eine Hardware-Schwachstelle, die nicht behoben werden kann

Im Gegensatz zu den meisten Software-Schwachstellen nutzt USBLiter8 einen Fehler im BootROM aus – dem ersten Code, der beim Einschalten eines Apple-Geräts ausgeführt wird.

Das BootROM wird während der Herstellung dauerhaft in den Prozessor programmiert. Danach kann sein Inhalt nicht mehr verändert werden.

Die einzige vollständige Abhilfe besteht darin, die Hardware durch eine neuere, nicht betroffene Generation zu ersetzen.

Wie USBLiter8 funktioniert

Laut dem Paradigm Shift Blog wird die Schwachstelle durch einen Fehler im Synopsys DesignWare (DWC2) USB-Controller verursacht, der in Apples A12- und A13-Chips verwendet wird.

Im DFU-Modus verarbeitet der USB-Controller eingehende Setup-Pakete, bevor iOS oder iBoot startet. Die Forscher entdeckten, dass eine speziell erzeugte Folge von USB-Paketen einen internen Speicherzeiger manipulieren und Schreibzugriffe außerhalb des vorgesehenen Speicherbereichs ermöglichen kann.

Durch die gezielte Kontrolle dieser Schreibvorgänge wird die Ausführung beliebigen Codes im SecureROM möglich, bevor Apples sichere Bootkette aufgebaut wird.

Warum A12 und A13 betroffen sind

Paradigm Shift erklärt, dass die betroffenen Prozessoren eine besondere Position in der Entwicklung der Apple-Hardware einnehmen.

Ältere A11-Geräte waren nicht betroffen, da ihr BootROM den anfälligen USB-Zeiger nach jeder Übertragung manuell zurücksetzte. Neuere A14- und spätere Prozessoren konfigurieren den Hardwarespeicherschutz korrekt während der BootROM-Initialisierung.

A12- und A13-Geräte liegen zwischen diesen beiden Generationen und sind daher von diesem Hardwarefehler betroffen.

Physischer Zugriff ist erforderlich

USBLiter8 ist kein Remote-Angriff.

Ein Angreifer muss:

• Das Gerät physisch besitzen.
• Das Gerät in den DFU-Modus versetzen.
• Es mit einem RP2350-Mikrocontroller verbinden, auf dem die USBLiter8-Firmware läuft.

Der gesamte Exploitvorgang dauert weniger als zwei Sekunden und erfolgt, bevor Apples signierte Bootkette geladen wird.

Die Ausnutzung unterscheidet sich zwischen A12 und A13

Obwohl dieselbe BootROM-Schwachstelle beide Prozessorfamilien betrifft, unterscheidet sich ihre Ausnutzung.

Auf A12-Geräten ist das Erreichen einer beliebigen Codeausführung vergleichsweise einfach.

Bei A13 mussten die Forscher zusätzlich Apples Pointer Authentication Codes (PAC) überwinden – eine Hardware-Sicherheitsfunktion zum Schutz von Rücksprungadressen und anderen Zeigern vor Speicherkorruptionsangriffen.

Was passiert nach der Ausnutzung?

Ein erfolgreicher Exploit versetzt das Gerät in den Pwned-DFU-Modus.

Die USB-Seriennummer enthält anschließend:

PWND:[usbliter8]

In diesem Zustand können Forscher eigene Boot-Komponenten laden, darunter:

• Benutzerdefiniertes iBSS
• Benutzerdefiniertes iBEC
• SSH-Ramdisks
• Unsignierte iBoot-Images
• Benutzerdefinierte Kernel
• Forschungswerkzeuge

Dadurch entsteht eine leistungsfähige Plattform für Bootloader-Forschung und Low-Level-Analysen des sicheren Apple-Bootprozesses.

Bedeutet das, dass jedes Gerät jailbreakt werden kann?

Nicht unbedingt.

USBLiter8 ist ein BootROM-Exploit und kein vollständiger Jailbreak.

Er ermöglicht Low-Level-Codeausführung während des Bootvorgangs, jedoch werden weiterhin zusätzliche Softwarekomponenten benötigt, um:

• Benutzerdefinierte Umgebungen starten
• iOS patchen
• Jailbreaks entwickeln
• Änderungen am Dateisystem vornehmen

Der Exploit ist in erster Linie für Sicherheitsforschung, Reverse Engineering, Firmware-Analyse und die Entwicklung zukünftiger Werkzeuge gedacht.

Ist die Secure Enclave kompromittiert?

Nein.

Paradigm Shift betonte, dass USBLiter8 den Secure Enclave Processor (SEP) nicht direkt kompromittiert.

Der SEP arbeitet weiterhin unabhängig vom Hauptprozessor und ist weiterhin für Verschlüsselungsschlüssel, biometrische Daten und andere sicherheitsrelevante Funktionen verantwortlich.

Der Zugriff auf das BootROM erweitert jedoch erheblich die Möglichkeiten der Forschung und Analyse in den frühesten Phasen des Bootvorgangs.

Kann USBLiter8 zum Umgehen der iCloud-Sperre verwendet werden?

Die Aktivierungssperre umfasst weit mehr als das BootROM. Sie basiert auf Apples Aktivierungsinfrastruktur, signierten Aktivierungsdatensätzen und der Secure Enclave für bestimmte Sicherheitsfunktionen.

Ein BootROM-Exploit deaktiviert diese Mechanismen nicht automatisch. Der Zugriff auf das BootROM kann jedoch die Forschung und Entwicklung zukünftiger Techniken erleichtern.

Fazit

USBLiter8 ist der erste öffentlich veröffentlichte BootROM-Exploit für Apple-Geräte seit checkm8 und erweitert die Hardware-Forschung auf die A12- und A13-Generation.

Obwohl der Angriff physischen Zugriff und spezielle Hardware erfordert, liegt seine Bedeutung darin, dass er unveränderlichen BootROM-Code angreift, den Apple nicht aktualisieren kann. Dadurch bleiben alle betroffenen Geräte während ihrer gesamten Lebensdauer verwundbar.

Referenzen

• So führen Sie den USBLiter8-BootROM-Exploit aus
• So starten Sie eine SSH-Ramdisk mit USBLiter8 und einem iPhone XR