فشل مفتوح في توقيع AppleMediaServices (إفشاء ثغرة يوم الصفر)

الملخص

تشكّل هذه المشكلة ثغرة يوم صفر حيّة وتعكس عيبًا تصميميًا منهجيًا في AppleMediaServices.framework، وليست انحدارًا أو خللًا خاصًا بإصدار معيّن.

يسمح خلل حرج من نوع الفشل المفتوح (fail-open) في إطار عمل AppleMediaServices من Apple بتعطيل توقيع الطلبات بصمت إذا تعذّر تحميل ملف إعداد عن بُعد (يُسمى «Bag»). يؤثر هذا على iOS وmacOS وtvOS وwatchOS.

عندما يتعذّر استرداد الحقيبة — بسبب التلاعب بنظام DNS أو انتهاء المهلة أو التداخل في الشبكة — تعطّل خفيّات AppleMediaServices توقيع Mescal/Absinthe وترسل طلبات غير موقّعة إلى خوادم Apple. تفتقر هذه الطلبات إلى حمايات التكامل وتعرّض المستخدمين لهجمات خفض الإصدار (downgrade) وإعادة الإرسال (replay).

دليل السجلات:

https://ia600207.us.archive.org/11/items/fail-open-log-evidence-in-apple-media-services/Fail%20Open%20Log%20Evidence%20in%20AppleMediaServices.mov

الاكتشاف

• التاريخ: 20 أغسطس 2025
• النوع: يوم صفر نشط
• الحالة: غير مُصحَّح

الأنظمة المتأثرة

تتأثر جميع منصات Apple التي تستخدم AppleMediaServices.framework.

الخفيّات المتأثرة تشمل:

• appstored (خدمات App Store)
• amsengagementd (نقاط نهاية الوسائط والمعاينة)
• promotedcontentd (منطق الإعلانات والتخصيص)

نظرة عامة على الثغرة

تجلب أجهزة Apple حقيبة إعداد ديناميكية من نقطة النهاية التالية:

https://bag.itunes.apple.com/bag.xml?deviceClass=...&format=json

يتضمن هذا الإعداد علامات مثل useAMSMescal وmescalURL وabsintheURL، والتي تحدّد ما إذا كان يجب توقيع الطلبات الصادرة.

إذا تعذّر تحميل الحقيبة، يسجّل AppleMediaServices الفشل، ويعطّل منطق التوقيع، ويرسل طلبات غير موقّعة. لا يوجد أي تحقق من التوقيع، أو فحص تكامل، أو آلية احتياطية مفروضة. الحقيبة غير مصادَقة وغير موقّعة، مما يجعل الحالة الأمنية عرضة للتداخل في الشبكة.

إثبات المفهوم

المتطلبات المسبقة:

• يجب أن يكون الجهاز متصلًا بشبكة يتحكم فيها المهاجم أو يعبث بها (مثل نقطة وصول مارقة أو DNS مخترق).

خطوات الاستغلال:

1. احجب أو عبث بالوصول إلى نقطة نهاية الحقيبة باستخدام استجابات DNS NXDOMAIN أو مصافحات TCP المسقطة أو الاستجابات المؤجَّلة.

2. راقب سجلات النظام التي تشير إلى فشل تحميل الحقيبة وتخطّي توقيعات Mescal/Absinthe.

3. حفّز مكونات النظام (مثل App Store وتطبيق الموسيقى) لإرسال الطلبات. راقب حركة مرور الشبكة وتأكد من غياب ترويسات التوقيع:

   • X-Apple-Mescal-Signature
   • X-Apple-Mescal-Request-Digest
   • X-Apple-ID-Session
   • X-Apple-Absinthe-Signature

النتيجة:

تُنقل حركة مرور غير موقّعة إلى نقاط نهاية Apple دون تحقق. يتيح هذا التلاعب وإعادة الإرسال ومخاطر تكامل أخرى.

نماذج التهديدات

• نقاط وصول Wi-Fi عامة مارقة تمنع استرداد الحقيبة
• تسميم DNS أو العبث به الذي يحجب الوصول إلى bag.itunes.apple.com
• تعديل AMSBagManager بواسطة Frida أو كسر الحماية (jailbreak) لتجاوز علامات الأمان
• إعادة إرسال أو تغيير طلبات المحتوى غير الموقّعة الموجهة إلى شبكات CDN الخاصة بـ Apple

المعالجة الموصى بها

1. إعداد موقّع وقّع الحقيبة باستخدام CMS أو JWT أو HMAC وتحقق من التوقيعات من جانب العميل.
2. إعدادات افتراضية آمنة عند الفشل يجب أن يحجب AppleMediaServices حركة المرور المعتمدة على التوقيع عندما يتعذر استرداد الحقيبة أو التحقق منها.
3. إنفاذ من جانب الخادم يجب أن ترفض واجهات برمجة التطبيقات الخلفية لـ Apple الطلبات غير الموقّعة التي تتطلب حماية Mescal أو Absinthe.
4. تخزين مؤقت مُتحقَّق منه يجب تخزين محتوى الحقيبة مؤقتًا فقط عندما يجتاز فحوصات التكامل ويقع ضمن قيود انتهاء الصلاحية المحددة.

مبرر الخطورة

• قابلة للاستغلال عن بُعد دون تفاعل من المستخدم
• لا تتطلب أي صلاحيات
• تؤثر على الخدمات الأساسية عبر جميع منصات Apple الرئيسية
• تلتف على ترويسات المصادقة
• تتيح سيناريوهات إعادة الإرسال وخفض الإصدار

---

لماذا يهم هذا الأمر

تعتمد أجهزة Apple على الطلبات الموقّعة لضمان الثقة — بدءًا من App Store وصولًا إلى تشغيل الوسائط. إذا اختفت هذه التوقيعات كلما تعذّر تحميل ملف إعداد، يمكن للمهاجمين على شبكة Wi-Fi تجريد التكامل وحقن حركة المرور أو إعادة إرسالها دون علم المستخدم. يعني سقوط طلب حقيبة واحد أن ضمانات أمان Apple تفشل بشكل مفتوح.