usbliter8: de onherstelbare BootROM-kwetsbaarheid die miljoenen iPhones treft

De usbliter8-kwetsbaarheid treft alle apparaten met de A12- en A13-chips . Het gaat concreet om de volgende modellen:

• iPhone: iPhone XS, iPhone XS Max, iPhone XR, iPhone 11, iPhone 11 Pro, iPhone 11 Pro Max
• Apple Watch: modellen met de S4- en S5-chips

Opvallend is dat dit dezelfde generatie is die beschermd was tegen de eerdere checkm8-exploit uit 2019, die A5- tot en met A11-chips trof . usbliter8 opent nu de deur voor deze nieuwere modellen.

De A11-chip is niet kwetsbaar omdat de USB-driver daar de DMA-pointer na elk ontvangen pakket handmatig reset . Vanaf de A14-chip heeft Apple de geheugenbescherming in de SecureROM wel correct geconfigureerd, waardoor de exploit niet werkt op de allernieuwste apparaten .

Hoe werkt de exploit?

De kern van het probleem ligt in de Synopsys DWC2 USB-controller die in de A12- en A13-chips is ingebouwd . De aanval werkt als volgt:

1. Ringbuffer-fout: De USB-controller gebruikt een ringbuffer om inkomende datapakketjes op te slaan. Na elk pakket verschuift een interne pointer. Na drie kleine pakketjes springt de pointer 24 bytes terug om de boel te resetten .
2. Minipakketjes als hefboom: De controller accepteert ook pakketjes kleiner dan de standaard 8 bytes. Doordat deze ongelijk worden opgeslagen, ontstaat er een mismatch: de pointer verschuift minder dan de 24 bytes waarmee wordt teruggesprongen. Dit resulteert in een buffer-onderloop van 12 bytes; de pointer begint als het ware achteruit te lopen door het geheugen .
3. Geheugen overschrijven: Door slimme pakketjes te sturen, kan een aanvaller zo gevoelige delen van het SRAM-geheugen overschrijven, zoals de stack van de USB-taak of metadata van de heap .
4. Code uitvoeren: Op de A12-chip is het relatief eenvoudig om de program counter (PC) te kapen. De A13-chip heeft Pointer Authentication Codes (PAC) die dit moeilijker maken, maar onderzoekers hebben een meerstapsaanpak gevonden om ook deze beveiliging te omzeilen .

Een succesvolle aanval geeft de aanvaller de mogelijkheid om tijdelijk beveiligingsinstellingen te verlagen en niet-ondertekende software te laden . Nadat de exploit is gelukt, verandert de USB-serieel naar 'PWND', het teken dat het apparaat is gekraakt .

Waarom is het niet te repareren?

De BootROM (ook wel SecureROM genoemd) is de allereerste code die de chip uitvoert bij het opstarten. Deze code staat in een read-only geheugen (ROM) dat tijdens de productie van de chip wordt 'vastgebrand' . Het is fysiek onmogelijk om dit achteraf te wijzigen. Omdat usbliter8 een hardwarefout in de USB-controller uitbuit, is deze met geen enkele softwarepatch te dichten .

Voor gebruikers van een getroffen iPhone of Apple Watch is de enige echte oplossing om over te stappen op een nieuwer model met een A14-chip of nieuwer . Hoewel de aanval fysieke toegang tot het apparaat in DFU-modus vereist en dus niet op afstand kan worden uitgevoerd , blijft het apparaat voor de rest van zijn levensduur kwetsbaar .