usbliter8: Den ofixbara BootROM-sårbarheten som påverkar miljontals iPhone

Den 18 juni 2026 offentliggjorde säkerhetsforskningsföretaget Paradigm Shift en kritisk BootROM-sårbarhet (SecureROM) som påverkar Apples A12- och A13 Bionic-chips . Sårbarheten, som fått namnet usbliter8, utnyttjar en hårdvarubrist i chippets inbyggda USB-kontroller och ger angriparen full kontroll över enhetens säkra uppstartsprocess . Eftersom sårbarheten är inbäddad i skrivskyddat minne ('read-only memory') redan vid chiptillverkningen är den permanent omöjlig att åtgärda genom någon program- eller fastvaruuppdatering .

Vilka enheter påverkas?

Sårbarheten påverkar enheter med A12- och A13-chips, inklusive :

• iPhone: XS, XS Max, XR, 11, 11 Pro, 11 Pro Max
• Apple Watch: modeller med S4- och S5-chips

Tidigare offentliggjordes 'checkm8' (2019) som påverkade enheter med A5- till A11-chips (iPhone 4S till iPhone X) . usbliter8 utökar nu samma typ av attack till nästa generation . A11 är inte sårbart eftersom USB-drivrutinen manuellt återställer DMA-pekaren efter varje datapaket . A14 och nyare chips är också skyddade eftersom de konfigurerar USB DART (minnesskydd) korrekt i SecureROM .

Hur fungerar exploateringen?

Problemet ligger i den Synopsys DWC2 USB-kontroller som är inbyggd i chippet . Här är den tekniska kedjan:

1. Felaktig ringbuffer-pekare: Kontrollern lagrar upp till tre USB Setup-paket i en DMA-buffert. Efter varje skrivning ökar den en hårdvarupekare med datastorleken. Efter det tredje paketet minskas den med fasta 24 byte .

2. Knep med för små paket: Kontrollern accepterar paket som är mindre än standard 8 byte, men lagrar dem alltid i 4-byte-justerade bitar. När ett litet paket tas emot matchar inte pekarens ökning (faktisk datamängd) den fasta minskningen på 24 byte, vilket skapar en 12-byte buffertunderflöde – pekaren rör sig bakåt i minnet .

3. Minnesskrivning: Detta låter en angripare skriva över SRAM-områden som borde vara otillgängliga under uppstart, inklusive stackdata och heapmetadata .

4. Kodexekvering: På A12 kan angriparen skriva över ett sparat länkregister (LR) på USB-uppgiftens stack för att direkt ta kontroll över programräknaren (PC). På A13 kompliceras detta av PAC (Pointer Authentication Codes), vilket kräver en flerstegsmetod som även kringgår heap-kontrollsummor och panikräknare .

Varför kan det inte åtgärdas?

BootROM (SecureROM) är den allra första koden som chippet kör vid uppstart. Den är inbränd i skrivskyddat minne (ROM) vid chiptillverkningen och kan inte ändras efter att enheten lämnat fabriken . Eftersom grundorsaken är en hårdvarubug i USB-kontrollern – inte en programvarubug – kan Apple inte åtgärda den med en fastvaru- eller OS-uppdatering . Den enda effektiva åtgärden är att byta till nyare hårdvara (A14 eller senare) .