WeightBufs:

WeightBufs هو استغلال للقراءة/الكتابة على مستوى النواة (kernel r/w) لجميع أجهزة Apple التي تدعم محرك Neural Engine. الثغرات والاستغلال من قِبل @simo36، يمكنك قراءة شرائح العرض التقديمي في POC لمزيد من التفاصيل حول الثغرات وتقنيات الاستغلال.

لا يعتمد الاستغلال على أي عنوان أو إزاحة ثابتة، ويجب أن يعمل كما هو على macOS12 حتى 12.4 و *OS 15 حتى 15.5.

تؤثر ثغرات النواة على جميع إصدارات iOS 15 (حتى 16.0)، ومع ذلك تم إصلاح هروب sandbox في iOS 15.6. ونتيجة لذلك، يلزم كسر سلسلة الاستغلال وإيجاد هروب آخر من sandbox لإعادة الأمور إلى العمل على iOS 15.6/15.7. على الرغم من أن لديّ هروبًا آخر من sandbox يعمل حتى iOS 16.1، إلا أنني لست متأكدًا مما إذا كانت تقنيات استغلال النواة لا تزال قابلة للاستخدام على iOS 15.6+.

الثغرات:

يستغل هذا الاستغلال 4 ثغرات اكتشفتها بشكل مستقل وأبلغت Apple بها:

• CVE-2022-32845 : تجاوز فحص التوقيع الخاص بـ aned لملف model.hwx.
• CVE-2022-32948 : قراءة خارج الحدود (OOB Read) في DeCxt::FileIndexToWeight() بسبب عدم التحقق من فهرس المصفوفة.
• CVE-2022-42805 : قراءة عشوائية محتملة في ZinComputeProgramUpdateMutables() بسبب مشكلة تجاوز عدد صحيح.
• CVE-2022-32899 : تجاوز سعة سفلية (Buffer underflow) في DeCxt::RasterizeScaleBiasData() بسبب مشكلة تجاوز عدد صحيح.

الأجهزة المختبرة:

• iPhone12 Pro (iPhone13,3) مع iOS 15.5.
• iPad Pro (iPad8,10) مع iPadOS 15.5.
• iPhone11 Pro (iPhone12,3) مع iOS 15.4.1.
• MacBookAir10,1 M1 مع macOS 12.4.

ملاحظات:

هناك بعض الحالات التي قد يفشل فيها الاستغلال:

• إذا كان عنوان كائن IOSurface أو IOSurfaceClient المستهدف أعلى من المخزن المؤقت للنواة القابل للتغيير MUTK، ومع ذلك يكتشف الاستغلال الفشل مبكرًا، مما يمنع تعطل الجهاز. يكفي تشغيل الاستغلال مرة أخرى ويجب أن ينجح في المحاولة الثانية.
• إذا كان الاستغلال يتسبب في تعطل الجهاز بشكل متكرر في المرحلة 2 أو المرحلة 3، فهذا يعني أنه يجب ضبطه على الجهاز المختبر، تأكد من قراءة DEBUG_EXPLOIT_STAGE_2_KERN_PANIC و DEBUG_EXPLOIT_STAGE_3_KERN_PANIC لمزيد من التفاصيل.
• يجب أن يكون الجهاز المستهدف في حالة خمول، ويُفضّل إعادة تشغيله قبل استخدام الاستغلال، ويكون أفضل إذا تم تشغيل وضع الطيران.

ائتمان

يتضمن WeightBufs ملفات رأس لإطار عمل AppleNeuralEngine تم إنشاؤها بواسطة Elias Limneos عبر classdump-dyld 1.0.

الترخيص

يُصدر WeightBufs بموجب رخصة MIT.