CoreParsecLocation

باختصار: أضف فحص امتياز إلى parsecd

نظرة عامة

CoreParsecLocation هو تطبيق نموذجي يوضح كيف يمكن لتطبيق من طرف ثالث الوصول إلى الموقع الدقيق للمستخدم دون موافقة المستخدم أو إذنه. كما يوفر parsecd/CoreParsec معلومات مثل اقتراحات البحث الموضعية وبطاقات المعرفة ومعرّف مستخدم مؤقت. لحسن الحظ، لا أعتقد أن معرّف المستخدم يتم حفظه أو إعادة استخدامه في الوقت الحالي.

الجدول الزمني

• اكتشفت تسرب المعلومات في نوفمبر 2022 وأبلغت Apple بهذا الاكتشاف.
• أصدرت Apple تصحيحًا للمشكلة في iOS 16.2 في ديسمبر 2022.
• أكدت Apple أن المشكلة أُصلحت في يناير 2023، وأسندت إليها CVE-2022-46718، ودفعت مكافأة اكتشاف ثغرات بقيمة 35,000 دولار.
• هذا الجزء يزعجني بعض الشيء تمت إضافة الإفصاح العام إلى ملاحظات أمان iOS 16.2 في 1 مايو 2023.

كيف يعمل؟

أثناء استكشافي الروتيني لأُطر العمل، لاحظت وجود NSXPCConnection نشط إلى parsecd. بعد بضعة أيام من التجريب، اكتشفت أن parsecd يستجيب لاستعلامات البحث من أي تطبيق طالما قمت بانتحال معلومات الترويسة الصحيحة. في هذه الحالة، استخدمت كلاس SPPARSession، الذي يُنشئ جلسة لـ Spotlight.

في البداية، افترضت أن كائن PARResponse لن يعيد سوى موقع GeoIP (وهو ليس مفيدًا كثيرًا بحد ذاته). ومع ذلك، بعد تجربة العديد من استعلامات البحث، اكتشفت أن البحث عن «مطاعم» يجعل parsecd يحصل على الموقع الدقيق للمستخدم. ثم أعاد إليّ معلومات الموقع عبر كائن PARReponse.

كما يعيد parsec معلومات إضافية، مثل نتائج الأخبار الموضعية واقتراحات البحث. لا أعتقد أن هذه تحتوي على أي معلومات تحدد هوية المستخدم في الوقت الحالي. بعد تقديم التقرير، أخطط لاستكشاف الاستجابات الإضافية بشكل أعمق.

ملاحظات مهمة

• المستخدم لا يتم إعلامه بأن موقعه قيد الاستخدام حاليًا. لست متأكدًا من عدد المرات التي يطلب فيها parsecd موقعًا جديدًا، لكنني لم أرَ مؤشر موقع في شريط الحالة أثناء اختباراتي.
• يتم تحديث الموقع كل 100 قدم تقريبًا.
• يؤثر على iOS 16/16.0.1.
• يستعين بمكتبة الطرف الثالث Dynamic (تجدها هنا: https://github.com/mhdhejazi/Dynamic). هذه المكتبة غير مطلوبة لاستغلال parsecd، لكنها تسهّل استخدام واجهات برمجة تطبيقات الطرف الثالث دون ترويسات مكشوفة.
• يتطلب اتصالًا بالإنترنت، على الرغم من أنني ما زلت أختبر ما إذا كان parsecd سيعيد الموقع بدونه.
• أعتقد أن هذا يندرج تحت فئة «تطبيق مثبّت من قبل المستخدم: وصول غير مصرح به إلى بيانات حساسة» في https://developer.apple.com/security-bounty/payouts/.
• هذا الكود ليس أفضل أعمالي، لكنني كنت متحمسًا جدًا لتقديمه وكتبته في الساعة 3 فجرًا. إذا كان لديكم أي أسئلة أو تعليقات، فلا تترددوا في التواصل معي.