USBLiter8: il primo exploit BootROM non correggibile per Apple A12 e A13 dai tempi di checkm8

Per la prima volta dal rilascio di checkm8 nel 2019, i ricercatori hanno reso pubblico un nuovo exploit BootROM per dispositivi Apple. USBLiter8 è stato sviluppato da Paradigm Shift e interessa i dispositivi con chip A12 e A13.

Poiché la vulnerabilità risiede nel SecureROM (BootROM) immutabile di Apple, non può essere corretta tramite aggiornamenti software. Tutti i dispositivi interessati rimangono vulnerabili per tutta la loro vita utile.

Una vulnerabilità hardware impossibile da correggere

A differenza della maggior parte delle vulnerabilità software, USBLiter8 sfrutta un difetto del BootROM, il primo codice eseguito all'avvio di un dispositivo Apple.

Il BootROM viene programmato permanentemente nel processore durante la produzione. Dopo la fabbricazione, il suo contenuto non può più essere modificato.

L'unica soluzione completa consiste nel sostituire l'hardware con una generazione più recente non vulnerabile.

Come funziona USBLiter8

Secondo il blog di Paradigm Shift, la vulnerabilità è causata da un difetto del controller USB Synopsys DesignWare (DWC2) utilizzato nei chip Apple A12 e A13.

In modalità DFU il controller USB elabora i pacchetti di configurazione prima dell'avvio di iOS o iBoot. I ricercatori hanno scoperto che una sequenza appositamente creata di pacchetti USB può manipolare un puntatore interno alla memoria e consentire scritture al di fuori della regione prevista.

Controllando attentamente queste scritture, diventa possibile eseguire codice arbitrario all'interno del SecureROM prima che venga stabilita la catena di avvio sicuro di Apple.

Perché A12 e A13 sono vulnerabili

Paradigm Shift spiega che i processori interessati occupano una posizione unica nell'evoluzione dell'hardware Apple.

I dispositivi A11 più vecchi evitavano il problema perché il loro BootROM reimpostava manualmente il puntatore USB vulnerabile dopo ogni trasferimento. I processori A14 e successivi configurano correttamente la protezione hardware della memoria durante l'inizializzazione del BootROM.

I dispositivi A12 e A13 si collocano tra queste due generazioni, rimanendo esposti al difetto hardware.

È richiesto l'accesso fisico

USBLiter8 non è un attacco remoto.

Un attaccante deve:

• Avere fisicamente il dispositivo.
• Metterlo in modalità DFU.
• Collegarlo a un microcontrollore RP2350 con firmware USBLiter8.

L'intero processo di sfruttamento richiede meno di due secondi e avviene prima che inizi il caricamento della catena di avvio firmata da Apple.

Lo sfruttamento differisce tra A12 e A13

Sebbene la stessa vulnerabilità del BootROM interessi entrambe le famiglie di processori, il metodo di sfruttamento non è identico.

Sui dispositivi A12, ottenere l'esecuzione di codice arbitrario è relativamente semplice.

Sui dispositivi A13 i ricercatori hanno dovuto superare anche i Pointer Authentication Codes (PAC), una funzione di sicurezza hardware progettata per proteggere gli indirizzi di ritorno e altri puntatori dagli attacchi di corruzione della memoria.

Cosa succede dopo lo sfruttamento?

Uno sfruttamento riuscito porta il dispositivo in modalità Pwned DFU.

Il numero di serie USB viene modificato includendo:

PWND:[usbliter8]

In questo stato i ricercatori possono caricare i propri componenti di avvio, tra cui:

• iBSS personalizzato
• iBEC personalizzato
• Ramdisk SSH
• Immagini iBoot non firmate
• Kernel personalizzati
• Strumenti di ricerca

Questo crea una potente piattaforma per la ricerca sul bootloader e l'analisi a basso livello del processo di avvio sicuro di Apple.

Significa che qualsiasi dispositivo può essere sottoposto a jailbreak?

Non necessariamente.

USBLiter8 è un exploit BootROM, non un jailbreak completo.

Consente l'esecuzione di codice a basso livello durante l'avvio, ma sono comunque necessari componenti software aggiuntivi per:

• Avviare ambienti personalizzati
• Applicare patch a iOS
• Sviluppare jailbreak
• Modificare il file system

L'exploit è destinato principalmente alla ricerca sulla sicurezza, al reverse engineering, all'analisi del firmware e allo sviluppo di strumenti futuri.

Il Secure Enclave è compromesso?

No.

Paradigm Shift ha sottolineato che USBLiter8 non compromette direttamente il Secure Enclave Processor (SEP).

Il SEP continua a funzionare indipendentemente dal processore principale ed è responsabile delle chiavi di crittografia, dei dati biometrici e di altre funzioni di sicurezza sensibili.

Tuttavia, l'accesso al BootROM amplia notevolmente le possibilità di ricerca e test nelle prime fasi del processo di avvio.

USBLiter8 può essere utilizzato per aggirare il blocco iCloud?

Il Blocco Attivazione coinvolge molto più del BootROM. Si basa sull'infrastruttura di attivazione Apple, sui record di attivazione firmati e sul Secure Enclave per alcune funzioni di sicurezza.

Un exploit del BootROM non disabilita automaticamente questi meccanismi. Tuttavia, l'accesso al BootROM può semplificare la ricerca e lo sviluppo di future tecniche.

Conclusione

USBLiter8 rappresenta il primo exploit BootROM pubblicamente rilasciato per dispositivi Apple dai tempi di checkm8 ed estende la ricerca hardware alle generazioni A12 e A13.

Sebbene l'attacco richieda accesso fisico e hardware specializzato, la sua importanza deriva dal fatto che colpisce il codice BootROM immutabile che Apple non può aggiornare. Di conseguenza, tutti i dispositivi interessati rimangono vulnerabili per tutta la loro vita utile.

Riferimenti

• Come eseguire l'exploit BootROM USBLiter8
• Come avviare una SSH Ramdisk utilizzando USBLiter8 e iPhone XR