2016年iOS公開可利用漏洞總結

更新時間：2016年12月28日 09:39:24 作者：阿里聚安全

本文總結了2016年比較嚴重的iOS漏洞（可用于遠程代碼執(zhí)行或越獄），希望能夠對大家移動安全方面的工作和研究帶來一些幫助。

0x00 序

iOS的安全性遠比大家的想象中脆弱，除了沒有公開的漏洞以外，還有很多已經(jīng)公開并且可被利用的漏洞，本報告總結了2016年比較嚴重的iOS漏洞（可用于遠程代碼執(zhí)行或越獄），希望能夠對大家移動安全方面的工作和研究帶來一些幫助。

0x01 iOS 10.1.1 公開的可利用漏洞

1. mach_portal攻擊鏈：該攻擊鏈是由Google Project Zero的Ian Beer公布的。整個攻擊鏈由三個漏洞組成:損壞的內核port的uref可導致任意進程的port被越權替換（CVE-2016-7637），powerd任意port替換可導致DoS（CVE-2016-7661），因為set_dp_control_port沒有上鎖導致的XNU內核UaF（CVE-2016-7644）。

攻擊者先使用CVE-2016-7637將launchd與”com.apple.iohideventsystem”系統(tǒng)服務具有發(fā)送權限的port替換成自己控制的進程的port，并攻擊者還具有該port的接收權限。然后，攻擊者利用CVE-2016-7661對powerd這個進程進行DoS，使其重啟。在啟動過程中，因為powerd的啟動需要用到”com.apple.iohideventsystem”系統(tǒng)服務，于是將task port發(fā)送給了這個系統(tǒng)服務。但因為攻擊者利用之前的CVE-2016-7637漏洞獲取了”com.apple.iohideventsystem”系統(tǒng)服務port的接收權限，因此攻擊者獲得了powerd的task port，從而控制了具有root權限并且在沙盒外的powerd進程。攻擊者隨后利用powerd進程的task port獲取到了host_priv port，然后利用host_priv port觸發(fā)因set_dp_control_port沒有上鎖而導致的XNU內核UaF（CVE-2016-7644）漏洞，從而控制了kernel task port。攻擊者在獲取了kernel task以后，就可以利用系統(tǒng)提供的mach_vm_read()和mach_vm_write()去進行任意內核讀寫了。

2016年12月22日，qwertyoruiop在Ian Beer公布的mach_portal攻擊鏈的基礎上，加入了KPP的繞過、內核patch和cydia的安裝，并在自己的twitter上發(fā)布了iOS 10.1.*的越獄。

0x02 iOS 9.3.4 公開的可利用漏洞

1. PEGASUS 三叉戟攻擊鏈：該攻擊鏈是在對阿聯(lián)酋的一位人權活動家進行apt攻擊的時候被發(fā)現(xiàn)。整個攻擊鏈由三個漏洞組成：JSC遠程代碼執(zhí)行（CVE-2016-4657），內核信息泄露（CVE-2016-4655），內核UAF代碼執(zhí)行（CVE-2016-4656）。

在瀏覽器漏洞方面，由于iOS系統(tǒng)的JavaScriptCore庫的MarkedArgumentBuffer類在垃圾回收的時候可能會造成內存堆破壞，導致黑客可以使用該漏洞泄露對象地址以及執(zhí)行任意指令。在內核漏洞方面，由于XNU內核的OSUnserializeBinary()函數(shù)在反序列化用戶態(tài)傳入的數(shù)據(jù)時沒有對OSNumber的長度進行校驗，導致可以泄露內核的棧信息。利用精心構造的OSString對象，還可以觸發(fā)UAF漏洞并導致內核代碼執(zhí)行。利用該攻擊鏈可以做到iOS上的遠程完美越獄，可以說是近幾年來影響最大的iOS漏洞之一了。并且在未來，極有可能出現(xiàn)利用該漏洞的iOS大面積掛馬事件。

0x03 iOS 9.3.3 公開的可利用漏洞

1. IOMobileFramebuffer Heapoverflow 內核漏洞: 該漏洞存在于IOMobileFramebuffer這個內核服務中。在IOMobileFramebuffer::swap_submit(IOMFBSwap *)這個函數(shù)中，因為沒有對用戶態(tài)傳入的IOMFBSwap數(shù)據(jù)進行校驗，從而導致內核堆溢出。利用該漏洞可以在沙盒內（不需要沙盒逃逸）直接對內核進行攻擊，并完成非完美越獄。該漏洞在iOS 9.3.3盤古越獄(女媧石)中被使用。

0x04 iOS 9.3.2 公開的可利用漏洞

1. WebKit RCE heapPopMin 遠程代碼執(zhí)行漏洞: 因為Webkit模塊中的WebCore ::TimerBase::heapPopMin()存在內存破壞漏洞，利用該漏洞可以對iOS設備進行遠程攻擊。當用mobile safari瀏覽有惡意攻擊代碼的網(wǎng)頁的時候，safari將會被黑客控制。但要注意的事，被控制的僅僅是safari，想要獲取用戶數(shù)據(jù)還需要進行沙盒逃逸，想要控制手機還需要對內核進行攻擊。另外，因為webkit不光存在于iOS中，因此該漏洞還被用于PS4，Kindle等設備的越獄。

2. GasGauge 條件競爭內核漏洞: 該漏洞存在于GasGauge這個內核服務中，因為在free內存的時候沒有進行加鎖操作，黑客可以開多個線程進行free操作，當競爭成功的時候可以造成double free的漏洞，隨后可以轉化為任意zone的UAF并控制內核，并完成非完美越獄。需要注意的是，該內核服務并不能在沙盒內直接訪問，所以想要利用該漏洞，需要先做到沙盒逃逸。

0x05 iOS 9.3.1 公開的可利用漏洞

1. inpuTbag Heapoverflow 內核漏洞: 該漏洞是阿里移動安全的OverSky團隊發(fā)現(xiàn)并公布的，該漏洞存在于IOHIDDevice這個內核服務中，因為沒有對Input report的szie做檢測從而造成內核堆溢出。利用該漏洞可以對內核進行攻擊，并完成非完美越獄。需要注意的是，該內核服務需要在沙盒外并擁有"com.apple.hid.manager.user-access-device"這個entilement才能訪問，所以想要利用該漏洞，需要先做到沙盒逃逸，然后繞過entilement的檢測才能利用。

0x06 iOS 9.1 公開的可利用漏洞

1. CVE-2015-7037 Photos 沙盒逃逸漏洞: 該漏洞存在于com.apple.PersistentURLTranslator.Gatekeeper這個系統(tǒng)服務中，在盤古越獄中被使用，通過利用改漏洞，一個在沙盒內的app可以做到mobile權限的沙盒外任意文件讀寫，配合dyld的漏洞可以做到沙盒外的任意代碼執(zhí)行。

2. CVE-2015-7084 IORegistryIterator 內核漏洞: 該內核漏洞存在于IOKit中，因為IORegistryIterator對象沒有線程互斥的保護，導致對成員進行操作的時候可能出現(xiàn)錯誤。該漏洞可以在沙盒內直接通過race condition觸發(fā), 隨后轉化為內核信息泄露以及內核的代碼執(zhí)行，并做到非完美越獄。

0x07 iOS 9.0 公開的可利用漏洞

1. CVE-2015-6974 IOHIDFamily 內核漏洞：該漏洞存在于IOHIDResource這個內核服務中，在terminateDevice后，系統(tǒng)沒有將device設置為NULL, 從而造成UAF漏洞。該漏洞在盤古iOS 9.0越獄中被使用，利用該漏洞可以做到內核的任意讀寫，并完成非完美越獄。需要注意的是，該內核服務并不能在沙盒內直接訪問，所以想要利用該漏洞，需要先做到沙盒逃逸。

0x08 總結

可以看到2016年的公開可利用的漏洞數(shù)量是非常巨大的，相對2015年可以說是有了一個指數(shù)級的增長。雖然蘋果更新系統(tǒng)的速度非?？觳⑶覠o法降級，但隨著老設備（iPhone 4s及以下已無法升級iOS 10）越來越多，并且用戶對新系統(tǒng)期望越來越低，iOS設備的更新率已經(jīng)變得非常緩慢。

根據(jù)某專業(yè)移動分析平臺2016年12月的數(shù)據(jù)可以看到，僅有3.28%的設備更新了最新版的iOS 10.2。這意味著96.72%的設備都有被最近剛發(fā)布的mach_portal漏洞攻擊的風險。我們相信，在新的一年，iOS的漏洞數(shù)量還會持續(xù)增加，并且隨著漏洞利用技術的公開，黑灰產也極有可能利用漏洞對用戶進行攻擊，希望廣大用戶一定要注意自己iOS設備的安全。

以上就是本文的全部內容，希望本文的內容對大家的學習或者工作能帶來一定的幫助，同時也希望多多支持腳本之家！

您可能感興趣的文章: