CVE-2021-30860

CVE-2021-30860 (FORCEDENTRY) هي ثغرة أمنية معروفة في MacOS وiOS وWatchOS. تتيح تنفيذ تعليمات برمجية عشوائية عن طريق إرسال "ملف PDF مُصمَّم بشكل خبيث" إلى جهاز الضحية.

تم تصحيح هذه الثغرة بواسطة Apple في 13 سبتمبر 2021 بالإصدارات التالية:

• iOS 14.8
• OSX Big Sur 11.6، التحديث الأمني 2021-005 Catalina
• WatchOS 7.6.2

ومع ذلك، فقد تم استغلالها في البرية منذ فبراير 2021 أو قبل ذلك.

الغرض

لكشف أدلة استغلال سابق على أجهزة MacOS أو أجهزة iPhone (عبر فحص نسخة احتياطية محلية على جهاز Mac). هذا ليس مخصصًا للدفاع ضد الهجمات المستقبلية أو التراجع عن آثار هجوم سابق. هذا ليس مخصصًا لكشف الاستغلال السابق على ساعات Apple أو أجهزة iPad.

الطرق

تُستخدم طريقتان متميزتان هنا لكشف أدلة الاستغلال السابق.

دليل الهجوم الأولي

ناقل الهجوم المعروف باستخدام هذه الثغرة هو إرسال ملفات PDF أو PSD ضارة (مُصنَّفة خطأً على أنها GIF) عبر الرسائل النصية القصيرة SMS. تفحص البرامج النصية هنا مرفقات الرسائل المستلمة في نسخة احتياطية لجهاز Mac أو iPhone بحثًا عن ملفات ".gif" لا يتطابق توقيع الملف الخاص بها مع توقيع GIF. ومن الجدير بالذكر أن استلام الملفات لا يعني بالضرورة تعرض الجهاز للاختراق، خاصةً إذا تم استلام الملف(ات) بعد تثبيت التحديث الأمني على الجهاز.

التنظيف غير الكامل

احتوت الهجمات التي نفذتها مجموعة NSO باستخدام هذه الثغرة على خطأ واحد على الأقل في مرحلة التنظيف. تُترك أدلة على iPhone في شكل تناقض في قاعدة بيانات sql معينة. وضّح Citizenlab استعلام SQL بسيطًا على قاعدة البيانات هذه يمكنه كشف التناقض ذي الصلة.

المتطلبات

مطلوب لجميع الفحوصات

• جهاز كمبيوتر يعمل بنظام MacOS 11.0 أو أحدث.
• تثبيت Python 3.

مطلوب فقط لفحوصات iPhone

• نسخة احتياطية محلية كاملة غير مشفرة لجهاز iPhone المعني.
• تثبيت أدوات النسخ الاحتياطي لآيفون، المستخدمة لفحص النسخ الاحتياطية لآيفون.

التحضير والاستخدام

1. تأكد من تلبية جميع المتطلبات.
2. نزّل هذا المستودع وانتقل إلى مجلده في الطرفية.
3. شغّل python3 cve_scan.py للمسح باستخدام الخيارات الافتراضية، أو python3 cve_scan.py -h للمساعدة.

أمثلة

1. فحص هذا الـ Mac فقط: python3 cve_scan.py --mode mac
2. فحص نسخة احتياطية لآيفون فقط: python3 cve_scan.py --mode iphone
3. فحص رسائل آيفون فقط: python3 cve_scan.py --mode iphone --method attachments
4. فحص قاعدة بيانات datausage لآيفون فقط: python3 cve_scan.py --mode iphone --method datausagedb
5. فحص أحدث نسخة احتياطية لآيفون: python3 cve_scan.py --mode iphone --backups newest

المراجع

• صفحة MITRE CVE
• وثيقة دعم Apple
• مقال Citizenlab