airborn-IOS-CVE-2025-24252

Log-Artefakt-Extraktor für iOS-Airborne-Schwachstellen aus LogArchive CVE-2025-24252

Anton Shustikov ist ein Berater für Informationssicherheit und Fintech mit umfangreicher Erfahrung in der Entwicklung von Sicherheitssystemen. Er ist der Gründer des nichtkommerziellen Bildungsprojekts CakesCats und verfasst Artikel für Publikationen wie Forbes und das Magazin „Xakep". Seine Arbeit umfasst häufig die Untersuchung digitaler Bedrohungen und die Förderung digitaler Hygiene.

Über die „Airborne"-Schwachstellen

„Airborne" ist eine Bezeichnung für eine Gruppe von Schwachstellen (entdeckt von Oligo Security in ihrer ursprünglichen Forschung), die Apples AirPlay-Protokoll und das AirPlay-Software-Development-Kit (SDK) betreffen. Diese Schwachstellen können eine Vielzahl von Apple-Geräten (iPhones, iPads, Macs, Apple TV usw.) sowie Drittanbieter-Geräte, die das AirPlay-SDK verwenden (z. B. Smart-Lautsprecher, Receiver), beeinträchtigen.

Wesentliche Aspekte von Schwachstellen vom Typ „Airborne":

• Entdeckungskontext: Die ursprüngliche „Airborne"-Forschung wurde von Oligo Security veröffentlicht (Weitere Details: https://www.oligo.security/blog/airborne). Dieses Skript soll nach allgemeinen forensischen Artefakten suchen, die mit solchen Schwachstellen in Zusammenhang stehen könnten.
• Betroffene Protokolle/Komponenten: In erster Linie Apple AirPlay, aber auch verwandte Dienste wie Bonjour (mDNS) und rapportd, das die Kommunikation zwischen Geräten abwickelt.
• Potenzielle Auswirkungen: Remote Code Execution (RCE) (einschließlich Zero-Click- und potenziell wurmartiger Varianten), Denial of Service (DoS), Umgehung von Zugriffskontrolllisten (ACL), Offenlegung von Informationen und Man-in-the-Middle-Angriffe (MITM).
• CVEs (kontextbezogene Beispiele): Auch wenn sich die konkreten CVE-Nummern mit jeder neuen Entdeckung ändern, zielt die Klasse der „Airborne"-Schwachstellen auf Fehler in der Art und Weise ab, wie AirPlay und verwandte Netzwerkdienste Daten, Pairing oder Verbindungen verarbeiten. Beispielsweise wurden bei früheren hypothetischen Diskussionen zu diesem Tool CVEs wie CVE-2025-24252 (im Zusammenhang mit mDNS-Problemen) oder CVE-2025-24132 (im Zusammenhang mit Pufferüberläufen im AirPlay-SDK) in Betracht gezogen. Benutzer sollten sich bei den von ihnen untersuchten Schwachstellen stets auf die spezifischen CVE-Details und Herstellerhinweise beziehen.
• Betroffene Betriebssystemversionen (allgemeine Anleitung): In der Regel Versionen von iOS, iPadOS, macOS, tvOS und Drittanbieter-AirPlay-SDKs, die älter sind als die Patches, die Apple und die jeweiligen Hersteller als Reaktion auf bestimmte Schwachstellenmeldungen veröffentlicht haben. Informationen zu gepatchten Versionen finden Sie stets in den offiziellen Sicherheitsupdates von Apple und den Herstellerhinweisen.

So funktioniert dieses Tool

Dieses Skript führt eine Reihe von log show-Befehlen mit sorgfältig ausgearbeiteten Prädikaten aus. Diese Prädikate sollen die große Menge an Informationen in den iOS-Systemprotokollen filtern, um potenzielle Indikatoren einer Kompromittierung oder anomale Aktivitäten zu identifizieren, die möglicherweise mit Schwachstellen vom Typ „Airborne" zusammenhängen.

Das Skript sucht nach:

• Abstürzen oder Fehlern in kritischen Systemprozessen, die an AirPlay, Medien-Streaming, Netzwerkerkennung und der Kommunikation zwischen Geräten beteiligt sind (z. B. mediaserverd, AirPlayXPCHelper, rapportd, mDNSResponder).
• Fehlern, die speziell vom AirPlay-Subsystem oder von Bonjour-/mDNS-Diensten protokolliert werden.
• Anomalen Netzwerkverbindungsereignissen (z. B. unerwartete Verbindungsabbrüche, fehlgeschlagene Verbindungsversuche), die von relevanten Prozessen gemeldet werden.
• Kernel-Panics, die auf eine schwere Systeminstabilität hindeuten können, die möglicherweise durch einen Exploit verursacht wurde.
• Verdächtigen Aktivitäten im Zusammenhang mit Konfigurationsprofilen (als allgemeiner Post-Exploitation-Vektor).
• Sandbox-Verletzungsmeldungen, die auf einen Exploit hindeuten könnten, der versucht, seine eingeschränkte Umgebung zu verlassen.

Die Ausgabe jeder Abfrage wird in einer separaten, beschreibend benannten Textdatei innerhalb eines mit Zeitstempel versehenen Ergebnisverzeichnisses gespeichert, was eine gezielte Analyse verschiedener Arten potenzieller Artefakte ermöglicht.

Voraussetzungen

1. macOS-Umgebung: Das Dienstprogramm log show und dieses Skript sind für die Ausführung auf macOS vorgesehen.
2. iOS-Protokollarchiv (.logarchive): Sie benötigen ein iOS-Systemprotokollarchiv (ein Bundle, das technisch gesehen ein Verzeichnis ist) von dem Gerät, das Sie analysieren möchten. Dieses kann in der Regel auf folgende Weise bezogen werden:
   • Xcode: Verbinden Sie das iOS-Gerät mit einem Mac, öffnen Sie Xcode, navigieren Sie zu Fenster -> Geräte und Simulatoren, wählen Sie Ihr Gerät aus und klicken Sie dann auf „Geräteprotokolle anzeigen" und „Exportieren".
   • sysdiagnose: Lösen Sie auf dem iPhone ein sysdiagnose aus (normalerweise durch gleichzeitiges Drücken von Lauter-Taste + Leiser-Taste + Seitentaste; die Tastenkombinationen können jedoch je nach Modell und iOS-Version variieren). Nachdem das sysdiagnose erstellt wurde (das kann mehrere Minuten dauern), kann es per AirDrop an einen Mac übertragen oder beim Synchronisieren des iPhones mit einem Mac aufgerufen werden (oft in Finder unter dem Synchronisierungsort des iPhones innerhalb einer .tar.gz-Datei zu finden). Das .logarchive befindet sich im extrahierten Inhalt des sysdiagnose.
3. Bash-Shell: Das Skript ist für bash geschrieben.

Einrichtung und Ausführung

1. Skript speichern: Speichern Sie den Skriptcode (oben bereitgestellt) als airborne_artifact_extractor.sh (oder unter einem anderen Namen mit der Erweiterung .sh).

2. Ausführbar machen: Öffnen Sie Ihre Terminal-App, navigieren Sie zu dem Verzeichnis, in dem Sie das Skript gespeichert haben, und führen Sie den folgenden Befehl aus:

   root@kitploit:~

   chmod +x airborne_artifact_extractor.sh
   

3. macOS-Quarantäne-Attribut prüfen (wichtig bei heruntergeladenen Skripten): Wenn Sie dieses Skript aus dem Internet heruntergeladen haben, könnte macOS es unter Quarantäne stellen, was verhindern kann, dass es korrekt oder überhaupt ausgeführt wird.

   • Um zu prüfen, ob das Quarantäne-Attribut gesetzt ist, führen Sie Folgendes aus:
     root@kitploit:~

     xattr airborne_artifact_extractor.sh
     

   • Wenn die Ausgabe com.apple.quarantine enthält, entfernen Sie dieses Attribut mit folgendem Befehl:
     root@kitploit:~

     xattr -d com.apple.quarantine airborne_artifact_extractor.sh
     

   Wenn beim Ausführen des Skripts weiterhin Probleme auftreten, insbesondere wenn es sich in einem Verzeichnis wie ~/Downloads befindet, stellen Sie sicher, dass Ihre Terminal-App über die erforderlichen Berechtigungen verfügt (z. B. „Voller Festplattenzugriff" in Systemeinstellungen -> Datenschutz & Sicherheit), um auf den Speicherort des Skripts und das Protokollarchiv zuzugreifen.

Behebung von Ausführungsproblemen

„Bad Interpreter"- oder ^M-Fehler (z. B. /bin/bash^M: bad interpreter: No such file or directory)

Wenn beim Versuch, das Skript auszuführen, ein Fehler wie bash: ./your_script_name.sh: /bin/bash^M: bad interpreter: No such file or directory, /usr/bin/env: ‘bash\r’: No such file or directory oder ähnliche Meldungen mit \r- oder ^M-Zeichen auftritt, liegt dies wahrscheinlich an Windows-Zeilenenden (CRLF - Carriage Return Line Feed) anstelle von Unix-Zeilenenden (LF - Line Feed).

Dies geschieht normalerweise, wenn die Skriptdatei auf einem Windows-System erstellt oder bearbeitet und dann ohne Konvertierung der Zeilenenden auf macOS oder Linux übertragen wurde. Unix-Systeme erwarten nur LF als Zeilenabschluss, und das zusätzliche CR-Zeichen (\r oder ^M) wird fälschlicherweise als Teil des Interpreterpfads oder der Befehle interpretiert.

Lösung: Zeilenenden mit dos2unix konvertieren

Der einfachste Weg, dies zu beheben, ist die Verwendung des Dienstprogramms dos2unix.

1. dos2unix installieren:

   • Auf macOS (mit Homebrew): Wenn Sie Homebrew nicht haben, installieren Sie es zuerst von brew.sh. Führen Sie dann Folgendes aus:

     root@kitploit:~

     brew install dos2unix
     

   • Auf Debian/Ubuntu-basierten Linux-Distributionen:

     root@kitploit:~

     sudo apt update
     sudo apt install dos2unix
     

   • Auf Fedora/RHEL-basierten Linux-Distributionen:

     root@kitploit:~

     sudo dnf install dos2unix # (or yum for older versions)
     

2. Skriptdatei konvertieren: Navigieren Sie zu dem Verzeichnis, das airborne_artifact_extractor.sh enthält, und führen Sie Folgendes aus:

   root@kitploit:~

   dos2unix airborne_artifact_extractor.sh
   

   Dieser Befehl konvertiert die Zeilenenden in-place.

Alternative Lösungen (falls dos2unix nicht verfügbar/bevorzugt):

• Mit sed:

  root@kitploit:~

  sed -i.bak 's/\r$//' airborne_artifact_extractor.sh
  

  (Dieser Befehl ändert die Datei direkt und erstellt eine Sicherungskopie airborne_artifact_extractor.sh.bak. Bei einigen sed-Versionen, insbesondere unter macOS, erfordert die Option -i eine Angabe für die Sicherungsdatei, z. B. -i '.bak' oder -i '' für keine Sicherung, sofern unterstützt. Unter macOS benötigen Sie möglicherweise sed -i '' 's/\r//g' airborne_artifact_extractor.sh)

• Mit tr:

  root@kitploit:~

  tr -d '\r' < airborne_artifact_extractor.sh > airborne_artifact_extractor_unix.sh
  chmod +x airborne_artifact_extractor_unix.sh
  # Then use airborne_artifact_extractor_unix.sh
  

• Texteditoren: Die meisten modernen Texteditoren (wie VS Code, Sublime Text, Atom, Notepad++) ermöglichen es Ihnen, die Zeilenenden zu ändern. Öffnen Sie die Skriptdatei, suchen Sie die Einstellung für die Zeilenenden (normalerweise in der Statusleiste oder im Menü Datei/Bearbeiten) und ändern Sie sie von „CRLF" oder „Windows" auf „LF" oder „Unix". Speichern Sie die Datei dann erneut.

Nachdem Sie die Zeilenenden konvertiert haben, versuchen Sie, das Skript erneut auszuführen. Denken Sie auch daran, sicherzustellen, dass es über Ausführungsberechtigungen verfügt (chmod +x airborne_artifact_extractor.sh).

Verwendung

Führen Sie das Skript über das Terminal aus und geben Sie dabei den Pfad zum .logarchive-Bundle sowie optionale Zeitraumparameter an:

Argumente:

Zeitzonenkonfiguration: Das Skript enthält oben Zeitzoneneinstellungen, die Sie ändern können:

Befehlsbeispiele:

./airborne_artifact_extractor.sh /Volumes/ExternalHD/iOS_Logs/iPhone13_archive.logarchive

Analysieren Sie die Protokolle der letzten 48 Stunden: Bash

./airborne_artifact_extractor.sh ./My_iPhone_Sysdiagnose.logarchive --last 48h

Analysieren Sie die Protokolle für einen bestimmten Datums- und Zeitraum (die Uhrzeiten werden gemäß TZ_SETTING interpretiert): Bash

Ausgabedateien

Das Skript erstellt ein neues Verzeichnis mit dem Namen airborne_traces_YYYYMMDD_HHMMSS (wobei YYYYMMDD_HHMMSS das aktuelle Datum und die aktuelle Uhrzeit ist) im selben Verzeichnis wie das Skript (oder in Ihrem aktuellen Arbeitsverzeichnis, falls das Skriptverzeichnis nicht beschreibbar ist). In diesem Ordner finden Sie mehrere .txt-Dateien, die jeweils die Ausgabe einer bestimmten Abfrage enthalten. Die Dateinamen sind zur Sortierung mit Nummern versehen:

Interpretation der Ergebnisse

Mitwirken

Sie können dieses Repository gerne forken, Verbesserungen vorschlagen, Probleme melden oder spezifischere Abfragen hinzufügen, die bei der Identifizierung von Spuren solcher Schwachstellen hilfreich sein könnten.